HZ214705 · ISSN 1868-5757 · www.itsicherheit-online.com August/September 4/2023 CISIS12-Modell CISIS12-Modell In zwölf einfachen Schritten zum ISMS IEC 62443 Der Standard für sichere Automatisierung „Nicht versicherbar“ Analyse von Ausschlüssen in der Cyber-Versicherung Umgang mit künstlicher Intelligenz Chancen und Risiken von ChatGPT

Liebe Leserin, lieber Leser, nicht selten überfordert die Implementierung eines Informationssicherheits management sys­ tems (ISMS) aufgrund des Umfangs und/oder des generischen Ansatzes typischer Rahmenwer­ ke die Zielgruppe von kleinen und mittleren Unternehmen oder öffentlichen Organisationen. CISIS12 will hier als Vorgehensmodell zur Einführung eines ISMS ansetzen: In 12 Schritten werden die Anwender durch konkrete Umsetzungsmaßnahmen und Handlungsempfehlungen begleitet. Dadurch wird vor allem die Informationssicherheit der Organisation überprüft und im Rahmen eines kontinuierlichen Verbesserungsprozesses gesichert und optimiert. Die Einführung von ­CISIS12­kann­durch­unabhängige­Zertifizierungsgesellschaften­auditiert­und­bescheinigt­werden­ (ab Seite 25). Darüber hinaus möchte ich Ihnen einen Beitrag zum Thema „Sichere Automatisierung“ ans Herz legen: Im Kontext der Automatisierungstechnik verschmelzen mehrere Bereiche, darunter der Maschinenbau und die IT­Sicherheit. Grund dafür ist die immer stärkere Vernetzung von physischen Systemen und digitaler Technik in industriellen Prozessen. Dabei treffen die traditio­ nellen Prinzipien des Maschinenbaus auf die komplexen Anforderungen der IT­Sicherheit. Die Herausforderung besteht darin, dass Experten mit unterschiedlichen Hintergründen und Fach­ sprachen zusammenarbeiten müssen. Ziel der Norm IEC 62443 ist es nun, hier eine Brücke zu schlagen und eine gemeinsame Basis für sichere Automatisierungssysteme zu schaffen. Wie die Norm aufgebaut ist, beschreiben unsere Autoren ab Seite 36. Keine Frage, IT­Sicherheitsverantwortliche brauchen für ihren Job ein dickes Fell. Denn durch ihre interdisziplinäre­Ausrichtung­befinden­sie­sich­häufig­an­der­Schnittstelle­unterschiedlicher­Inte­ ressen­–­und­damit­genau­dort,­wo­Konflikte­häufig­auftreten.­In­dieser­Position­sehen­sie­sich­ mit zusätzlichen Anforderungen konfrontiert, werden nicht rechtzeitig in wichtige Entscheidun­ gen eingebunden und laufen Gefahr, von den anderen Akteuren als gemeinsamer Gegner wahr­ genommen zu werden. Durch Diplomatie, proaktives Handeln und geschicktes Management können­CISOs­ihre­Management-Rolle­erfolgreicher­ausfüllen­und­Konflikte­effektiv­bewältigen­ (ab Seite 46). Dabei helfen unter anderem auch drei Analogien aus dem Sport. Neben­dem­Konfliktmanagement­ist­es­für­viele­CISOs­von­größter­Bedeutung,­die­Cybersicher­ heitsrisiken so weit wie möglich zu minimieren. Denn selbst eine sehr gute Sicherheitsstrategie und fortschrittliche Abwehrmaßnahmen bieten keinen absoluten Schutz. Immer mehr Unterneh­ men versuchen daher, die Restrisiken durch Cyberversicherungen abzusichern. Doch oft herrscht Unsicherheit über die Ausschlüsse in den Versicherungsbedingungen. Unsere Autoren von der TH Köln­haben­deswegen­in­einer­Studie­untersucht,­welche­Risiken­genau­die­Versicherer­aus­ schließen (ab S. 25). Außerdem­finden­Sie­in­dieser­Ausgabe­einen­kleinen­Schwerpunkt­zum­Thema­„Endpoint-­ Security“, unter anderem mit „Endpoint­Security auf kritischen, verteilten (I)IoT­Geräten“. Mehr dazu ab Seite 20. Viel Spaß beim Lesen wünscht Ihnen Sebastian Frank EDITORIAL Sebastian Frank twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_4/2023 3

INHALTSVERZEICHNIS 36 IEC 62443: DER STANDARD FÜR SICHERE AUTOMATISIERUNG VERSICHERBAR“ 50 „NICHT 62 CHANCEN UND RISIKEN VON CHATGPT 54 Warum Zero Trust Network Access (ZTNA) SERVICES in Zukunft unverzichtbar wird DIGITALE SICHERHEIT IN EINER WELT VOLLER BEDROHUNGEN IT-RECHT 56 Was der dritte Angemessenheitsbeschluss für die USA praktisch bedeutet EU-US DATA PRIVACY FRAMEWORK AUF DEM PRÜFSTAND AUS DER FORSCHUNG 62 Vom angemessenen Umgang mit künstlicher Sprachintelligenz CHANCEN UND RISIKEN VON CHATGPT 66 VORSCHAU: Ausblick auf Ausgabe 5 | 2023 66 Impressum ADVERTORIALS 23 IDENTITÄTS SICHERHEIT – DIE NÄCHSTE STUFE FÜR DEN ENDPUNKTSCHUTZ 26 Prävention statt Schadensbegrenzung API-BASIERTER SCHUTZ FÜR E-MAIL UND COLLABORATION 31 Effizienz von Cloud-Anwendungen neu definiert: VORTEILE DER CLOUD FÜR UNTERNEHMENSWACHSTUM IT-SICHERHEIT_4/2023 5

sungsfähige Echtzeit­Performance. Die Platzierung von Claroty als repräsen­ tativer Anbieter im Gartner Market Guide 2023 unterstreicht seine Position in der aufstrebenden Kategorie der CPS­Schutzplattformen, die eine zentra­ le Rolle bei der Sicherung vernetzter cyberphysischer Systeme spielen. n Immuta, ein führendes Unternehmen im Bereich Datensicherheit, hat eine Partnerschaft mit initions, einem Experten für Business Intelli­ gence und Daten­Cloud­Systeme, etabliert. Diese Kooperation ermög­ licht Unternehmen in Deutschland automatisierte Datensicherheit und Governance.­Nach­einer­erfolgreichen­Testphase­profitieren­Kunden­von­ Snowflake­und­Databricks­von­optimiertem­Datenzugriff­und­Daten- sicherheit über Grenzen hinweg. Die Partnerschaft zwischen Immuta und initions adressiert die Heraus­ forderungen, die Unternehmen bei der Cloud­Migration und dem si­ cheren Datenaustausch überwinden müssen. André Paul Henkel, CEO von initions, betonte die Unsicherheiten, die viele Unternehmen beim Daten­Outsourcing erfahren. Gemeinsam möchten die Unternehmen diesen Bedenken entgegenwirken und ihren Kunden den sicheren Da­ tenaustausch ermöglichen, während sie Datenschutzbestimmungen in vollem­Umfang­einhalten.­Die­Immuta-Plattform­findet­bereits­in­ver­ schiedenen Branchen Anwendung, darunter Finanzwesen, Gesundheits­ wesen, Produktion, Einzelhandel und Technologie. Das wachsende Part­ nernetzwerk von Immuta umfasst führende Cloud­Datenplattformen wie­Snowflake,­Databricks,­Amazon­Redshift,­Google­BigQuery,­Azure­ Synapse und Starburst. n Nasuni, Spezialist für moderne File Data Services, hat eine Integration mit Microsoft Sentinel angekündigt. Diese Kombination verbindet die cloudnative Ransomware­Wiederherstellungslösung von Nasuni mit der Security Information and Event Management (SIEM) Plattform von Microsoft. Die Integration ermöglicht den Kunden, Bedrohungen rasch zu erkennen und automatisierte Gegenmaßnahmen zu ergreifen. Angesichts der wachsenden Bedeutung verteilter Dateninfrastruk turen für Unternehmen modernisiert Nasunis File Data Services Platform kon­ ventionelles Network Attached Storage (NAS) und bietet integrierten Ransomware­Schutz. Dieser verkürzt die mittlere Wiederherstellungszeit (Mean Time To Recovery, MTTR) durch schnelle Erkennung und automa­ tisierte Reaktion auf Angriffe. Neue, gezielte Wiederherstellungsfunktio­ nen ermöglichen präzise Wiederherstellungen von betroffenen Dateien in Sekundenschnelle, gestützt auf das patentierte globale Ransomware­ Wiederherstellungsverfahren von Nasuni. Die Integration mit Microsoft Sentinel, einer skalierbaren cloudnative SIEM­Plattform mit Security Orchestration, Automation und Response (SOAR) Funktionen, verstärkt diesen Schutz. Durch die kontinuierliche Überwachung von Ereignis­ und Audit­Protokollen auf Nasuni­Geräten mittels Microsoft Log Analytics Workspace­können­Kunden­schnell­auf­Bedrohungen­reagieren­und­effi­ ziente Abwehrmaßnahmen ergreifen. n NEWS | UNTERNEHMEN G DATA und secova haben eine Partnerschaft geschlossen, um die IT­Sicherheit zu stärken. Kunden von secova können ab sofort Security Awareness Trainings der G DATA academy nutzen. Im Rahmen der Zu­ sammenarbeit wird das Angebot des deutschen Cyber­Defense­Spezia­ listen in die Online­Unterweisungssoftware sam von secova integriert. Unternehmen können aus 36 Security Awareness Trainings und einem speziellen Phishing­Schwerpunkttraining wählen und ihren Mitarbeiten­ den bereitstellen. Die Kurse von G DATA gewährleisten Rechtssicherheit und revisionssichere Dokumentation. Matthias Koll, Business Owner der G DATA academy, betont die Notwen­ digkeit, Menschen vor Cyberattacken zu schützen und hebt die Be­ deutung von Schulungen hervor. Die G DATA academy bietet fundierte Schulungen zur IT­Nutzung im Arbeitsalltag. Die Kooperation zwischen G DATA und secova basiert auf gemeinsamen Werten, insbesondere ho­ hen Sicherheitsstandards. Beide Unternehmen legen Wert darauf, dass ihre Lösungen und Dienstleistungen in Deutschland beheimatet sind, um die Einhaltung der Datenschutzgesetze sicherzustellen. secova kooperiert mit G DATA für mehr Cybersicherheit im Arbeitsalltag (Quelle: G DATA) Splunk und Microsoft haben eine strategische Partnerschaft ange­ kündigt, um Splunks Angebote für Enterprise Security und Observability auf Microsoft Azure zu erweitern. Gleichzeitig werden Splunk­Lösungen erstmals über den Microsoft Azure Marketplace verfügbar sein. Gary Steele, President und CEO von Splunk, betonte die Bedeutung der Part­ nerschaft für umfassende digitale Resilienz. Die Zusammenarbeit zielte darauf ab, Kunden und Partnern in jeder Phase ihrer Cloud­Journey Si­ cherheit und Zuverlässigkeit zu bieten. Steele hob hervor, dass Splunk KI­ unterstützte Lösungen bereitstellt, um Kunden genau dort zu unterstüt­ zen,­wo­sie­sich­in­ihrer­Entwicklung­befinden. Microsoft und Splunk wollen in enger Zusammenarbeit ein differenzier­ tes Produktangebot entwickeln, das Microsoft Azure für die Cloud­Pro­ dukte von Splunk nutzt. Dies ermöglicht Kunden, gezielt Innovationen voranzutreiben­und­flexible­Migration,­Modernisierung­und­Erweiterung­ in Cloud­ und hybriden Umgebungen zu realisieren. Splunk bietet Trans­ parenz­über­digitale­Systeme­hinweg,­identifiziert­Risiken­und­erkennt­ potenzielle Probleme, was menschlichen Teams oder maschinellen Automatisierungsfunktionen ermöglicht, frühzeitig zu reagieren, bevor Probleme kritisch werden. n IT-SICHERHEIT_4/2023 7

Portal für Unternehmensführung, Diligent Boards, dem Top­Manage­ ment präsentiert werden. Hauptmerkmale des Dashboards: ƒ Objektive Einschätzung der Cybersicherheitsleistung durch Bitsight ƒ Externe Bewertung der Sicherheitslage mithilfe der vertrauens­ würdigen Methodik von SecurityScorecard ƒ Ab Herbst: Verwaltung interner IT­Risikodaten in einer sicheren Plattform für eine aggregierte Übersicht und datengestützte Ent­ scheidungen. n SEP hat bei der Entwicklung von SEP sesam Apollon die Datensicherheit als Priorität festgelegt. In einer digitalisierten Geschäftswelt sind Unter­ nehmensdaten von unschätzbarem Wert, daher ist der Schutz von Back­ up­Daten von größter Bedeutung. Die neueste Version von SEP sesam betont den aktiven Schutz von Daten, indem sie verschiedene Ansätze für Sicherheit implementiert. Im Linux­Umfeld wird SEP immutable Storage (SiS) verwendet, um Daten unveränderbar zu speichern. Auf Windows­ Servern bietet Blocky4sesam Schutz vor Datenverlust und Ransomware. Die Application­Whitelisting­Technologien von GRAU DATA verhindern unbefugte Änderungen an Daten. Mit S3 Object Lock (Immutable Storage von S3) werden Daten auf Amazon S3, Wasabi Cloud oder anderen S3­ kompatiblen Cloud­Speichern vor Änderungen oder Löschung geschützt. Ein zusätzlicher Sicherheitsmechanismus ist der automatische Virus­ Check mit Ikarus beim Wiederherstellen von Daten. SEP sesam Apollon steht als 30­tägige Vollversion mit deutschsprachigem Support zum Download auf www.sep.de bereit. n SEP hat bei der Entwicklung von SEP sesam Apollon die Datensicherheit als Priorität festgelegt. (Quelle: SEP) Sophos hat die Einführung von „Sophos Managed Detection and Response (MDR) for Microsoft Defender“ bekannt gegeben. Diese voll­ ständig verwaltete Lösung bietet Unternehmen, die Microsoft Security nutzen, erstklassige Threat­Response­Funktionen. Durch die Ergänzung der Microsoft Security Suite um Endpoint­, SIEM­, Identity­, Cloud­ und andere Lösungen stellt Sophos MDR for Microsoft Defender eine we­ sentliche Verteidigungslinie dar, die Unternehmen rund um die Uhr vor Datenschutzverletzungen, Ransomware und anderen Active­Adversary­ Cyberangriffen schützt. Sophos MDR for Microsoft Defender integriert Telemetrie von verschie­ denen Microsoft Security­Tools. Im Unterschied zu anderen MDR­An­ geboten, die sich auf Microsoft Defender for Endpoint oder Microsoft Sentinel beschränken und nur begrenzte Threat­Response­Funktionen bieten, stärkt Sophos MDR die gesamte Microsoft Security Suite. Dies NEWS | PRODUKTE ermöglicht­es­Unternehmen,­ihre­Sicherheitsmaßnahmen­flexibel­zu­ erweitern und ihre Investitionen in bestehende Implementierungen op­ timal zu nutzen. n Sophos MDR for Microsoft Defender ergänzt die Microsoft-Security-Suite um Endpoint-, SIEM-, Identity-, Cloud- und andere Lösungen. (Quelle: Sophos) Container und Kubernetes sind zum Symbol für die Modernisierung von Anwendungen geworden, da Unternehmen vermehrt Multi­Cloud­ und hybride Technologie­Infrastrukturen einsetzen. Doch mit der wachsen­ den Verbreitung von cloudnativen Architekturen und Containern steigt auch­die­Angriffsfläche­eines­Unternehmens.­Dies­stellt­Security-Opera­ tions­Center­(SOC)­Teams vor die Herausforderung, sich mit der Komple­ xität nativer Cloud­Umgebungen vertraut zu machen. Zudem kämpfen sie damit, dass Container in der Produktion oft mit eingeschränkter bis gar keiner Sicherheitsabdeckung betrieben werden. Die Verwendung unterschiedlicher, nicht miteinander kommunizierender Tools führt zu Lücken in der Abdeckung und begrenztem Einblick in die verschiedenen Ebenen dieser Anwendungen. In dieser Situation hat VMware seine „Carbon Black Extended Detection and Response (XDR)­Strategie“, die auf cloudnative Anwendungen abzielt, weiterentwickelt. Die Cloud Native Detection and Response (CNDR) von VMware Carbon Black bietet Kunden eine einheitliche Sichtbarkeit, Sicher­ heit und Kontrolle in dynamischen und komplexen Anwendungsumge­ bungen. Die neuen CNDR­Funktionen sollen verbesserte Bedrohungser­ kennung für Container und Kubernetes in einer einzigen Plattform bieten. Diese Erweiterungen fokussieren sich auf den Laufzeitschutz für Linux­ Container, um eine skalierbare Absicherung gegen neue Bedrohungen zu gewährleisten und blinde Flecken für Angreifer zu eliminieren. n BeyondTrust, globaler Player im Bereich intelligenter Identitäts­ und Zugriffsschutz, hat Version 23.2 der sicheren Fernzugriffslösung Privi­ leged Remote Access veröffentlicht. Die neueste Version erleichtert die tägliche­Arbeit­von­IT-Administratoren­durch­reibungslose­Authentifizie­ rungsverfahren, neue IT­Verwaltungsfunktionen und Verbesserungen bei Routineaufgaben. Ein beschleunigter Onboarding­Prozess minimiert Wartezeiten, ermöglicht einen schnellen Gerätezugriff und optimiert die Nutzung von IT­Ressourcen. Eine Neuerung in Version 23.2 ist die Ein­ führung­der­passwortlosen­Authentifizierung­in­der­Fernzugriffslösung.­ Das ermöglicht IT­Teams und externen Dienstleistern einen schnellen, nahtlosen und sicheren Anmeldeprozess. Dies reduziert den Aufwand für Passwortverwaltung und verhindert riskante Praktiken wie die gemein­ sam genutzte Kennwörter und Konten. Zusätzlich wurden Funktionen zur­reibungslosen­Authentifizierung­eingeführt. n IT-SICHERHEIT_4/2023 9

NEWS | AUS DER SZENE INNOVATIVE METHODEN FÜR TIEFGREIFENDE ER- KENNTNISSE Die Schlüsselkomponente des Projekts ist die Entwicklung eines digitalen Zwillings von Social­ Network­Plattformen. Dies ermöglicht die Simu­ lation von Diskussionsthemen, Filtermechanis­ men und Personalisierungsfunktionen. Dadurch können Plattformdesigns und ihre Auswirkungen auf demokratische Debatten gezielt untersucht werden. Um eine realistische Umgebung zu schaffen, greift das Projekt auf theoretische Er­ kenntnisse aus der Netzwerktheorie und Mecha­ nismen der künstlichen Intelligenz (KI) zurück. VON DER FORSCHUNG ZUR PRAXIS Das Konsortium, bestehend aus acht Universi­ täten und Partnern aus Forschung, Zivilgesell­ schaft und Wirtschaft, arbeitet eng zusammen, um­anhand­von­Case­Studies­den­Einfluss­des­ Plattform-Designs­auf­die­Qualität­und­Art­de­ mokratischer Debatten zu evaluieren. Auf Basis dieser Forschungsergebnisse werden Vorschläge für die Regulierung sozialer Netzwerke erarbei­ tet und Plattformbetreiber erhalten Unterstüt­ zung zur Verbesserung ihrer Dienste. Zudem setzt das Konsortium auf partizipative Formate wie Citizen Labs, um die Methodik und Resultate des Projekts mit der europäischen Öffentlichkeit zu teilen und zu diskutieren. Das Projekt TWON wird über drei Jahre von der Europäischen­Kommission­finanziert,­speziell­ im Rahmen des Horizon Europe­Programms. Als Fördermittel über den gesamten Projetzeit­ raum sind drei Millionen Euro anberaumt. Seit KONSORTIALPARTNER IM TWON-PROJEKT ƒ Universiteit van Amsterdam (Konsortialleitung) ƒ FZI Forschungszentrum Informatik ƒ Institut Jozef Stefan ƒ Karlsruher Institut für Technologie (KIT) ƒ Robert-Koch-Institut ƒ Slovenska Tiskovna Agencija ƒ Universität Belgrad ƒ Universität Trier dem Kick­Off im April 2023 arbeiten die Konsor­ tialpartner gemeinsam an der Verwirklichung dieser wegweisenden Vision. Dr. Jonas Fegert, Abteilungsleiter am FZI, ist Mitglied im Executive Board des EU­Projekts. EIN BLICK IN DIE ZUKUNFT TWON ist nicht nur ein wissenschaftliches Pro­ jekt, sondern auch ein Meilenstein für die demo­ kratische Debattenkultur im digitalen Zeitalter. Die Erkenntnisse aus diesem Projekt könnten dazu beitragen, Online­Plattformen verantwor­ tungsvoller und transparenter zu gestalten und damit die Grundlagen für eine gesunde demo­ kratische Debatte zu stärken. Mit einem starken internationalen­Konsortium­und­der­finanziel­ len Unterstützung der Europäischen Union steht TWON für eine Zukunft, in der digitale Medien die Demokratie bereichern, statt sie zu gefährden. n IT-SICHERHEIT_4/2023 11 D ie Gestaltung innerer Mecha­ nismen von Online Social Networks wie algorithmisches Ranking­hat­maßgeblichen­Einfluss­auf­die­ Verbreitung von Nachrichten und auf das Ver­ halten der Nutzerinnen und Nutzer. Oft werden diese Entscheidungen aus wirtschaftlichen Motiven getroffen. Die Forderungen nach einer moderierten Veröffentlichung von Inhalten zie­ len darauf ab, mögliche schädliche Auswirkun­ gen auf demokratische Debatten einzudäm­ men. Dennoch fehlt bisher eine einheitliche Methode, um die Folgen von Veränderungen in den algo­ rithmischen Parametern eines sozia­ len Netzwerks abzuschätzen. Die komplexe Na­ tur dieser Systeme erschwert die Über­ tragung isolierter Expe­ rimente auf eine umfas­ sende Gesamtwirkung. Das im Rahmen des For­ schungsschwerpunkts „Digital Participation and Democracy“ durchgeführte Projekt hat das ambitionierte Ziel, durch die Nutzung eines digitalen­Zwillings­den­Einfluss­von­ Plattformmechanismen auf die demokratische Debatte zu analysieren. Dies soll nicht nur för­ derliche Metriken für die Demokratie aufzeigen, sondern auch eine objektive Grundlage für poli­ tische Entscheidungsträger, Zivilgesellschaft und Plattformbetreiber schaffen. . m o c . e b o d a k c o t s - e b y k c : d l i B Die fortschreitende Digitalisierung und die zunehmende Bedeutung von Online-Plattformen haben nicht nur das alltägliche Leben verändert, sondern auch tiefgreifende Auswirkungen auf die demokratische Debattenkultur. Das FZI Forschungszentrum Informatik hat sich gemeinsam mit einem internationalen Konsortium zum Ziel gesetzt, die komplexen Effekte sozialer Netzwerke auf die Demokratie genauer zu beleuchten. Im Rahmen des EU-geförderten Projekts TWON (Twin of Online Social Networks) werden die Mechanismen hinter Online-Plattformen erforscht, um wertvolle Erkenntnisse für eine mögliche Regulierung von Technologieunternehmen und Plattformbetreibern zu gewinnen.

NEWS | AUS DER SZENE erforscht. Der Comic beleuchtet auf verständ­ liche Weise das Konzept der „Eingebetteten Sicherheit“. Er erläutert, wie potenziell schäd­ liche Akteure in vermeintlich sichere Hard­ ware­Systeme eindringen können, sei es durch Hardware­Trojaner oder Seitenkanalangriffe. Die Forscher, auf welche die Biber im Verlauf des Comics treffen, stellen die Abwehrmecha­ nismen vor, an denen sie arbeiten, und erklären, wie Angriffe erkannt und vereitelt werden können. Neben den Forschungsprojekten des CASA­Exzellenzclusters werden auch Geschich­ ten aus dem realen Leben und ein CASA­Wiki mit Fachbegriffen in den Comic integriert. Christof Paar, Direktor am Max­Planck­Institut für Software und Privatsphäre in Bochum und Leiter des Research Hubs B des Exzellenzclusters CASA, erklärt: „Mit dieser spannenden, visuellen Erzählung wollen wir sowohl Experten als auch Laien in die faszinierende Welt der eingebette­ ten Sicherheit einführen, komplexe Konzepte verständlich erklären und die Neugier von Men­ schen mit unterschiedlichen Hintergründen we­ cken.“ Steffen Becker, Leitender Forscher im Be­ reich eingebettete Sicherheit an der Fakultät für Informatik der Ruhr­Universität Bochum, betont den bereichernden Aspekt der Zusammenarbeit mit dem Comic­Künstlerteam von Ellery Studio aus Berlin: „Als Wissenschaftler suchen wir stän­ dig nach neuen Wegen, unsere Forschung über die akademische Welt hinaus zu kommunizie­ ren. Die Zusammenarbeit mit dem kompetenten und erfahrenen Comic­Team war eine äußerst bereichernde Erfahrung.“ WISSENSCHAFTLICHER BACKGROUND Potenzielle­Schwachstellen­finden­sich­nicht­ nur in Software, sondern auch unmittelbar in der Hardware – eine Tatsache, die Angreifer gezielt ausnutzen könnten. Indem sie diese Schwachstellen heimlich in die Hardware ein­ fügen lassen, könnten sie gezielte Großangrif­ fe auf technologische Systeme initiieren. Die Forschungsbemühungen von Wissenschaft­ lern der Ruhr­Universität Bochum sowie des Max­Planck­Instituts für Sicherheit und Privat­ sphäre in Bochum konzentrieren sich auf die Entdeckung solcher Hardware­Trojaner. Diese Experten verglichen sorgfältig die Designpläne von Mikrochips mit elektronenmikroskopischen Abbildungen realer Chips und setzten einen Al­ gorithmus­ein,­um­Abweichungen­zu­identifi­ zieren. Diese innovative Methode ermöglichte IT-Sicherheit im Comic: Forschende des Max- Planck-Instituts für Sicherheit und Privatsphäre beteiligen sich an dem innovativen Format der Wissenschaftskommunikation. (Quelle: CASA) es,­Abweichungen­in­37­von­insgesamt­40 Fällen­ aufzudecken. Gegenwärtig sind elektronische Chips in einer schier unübersehbaren Bandbreite an Gegen­ ständen integriert. In den meisten Fällen stam­ men­diese­Entwürfe­von­Designfirmen,­die­ jedoch nicht über eigene Produktionsstätten verfügen. Daher übertragen sie ihre Entwürfe an spezialisierte Chip­Fertigungsbetriebe. Dr. Steffen Becker unterstreicht die Möglichkeit, dass kurz vor der Produktion in diesen Fabriken minimale Veränderungen in die Entwürfe einge­ schleust werden könnten, welche die Integrität der Chips untergraben. Er illustriert dies anhand eines Szenarios: Ein Hardware­Trojaner könnte im Extremfall dazu verwendet werden, durch einen einzigen Befehl wesentliche Teile der Te­ lekommunikationsinfrastruktur außer Betrieb zu setzen. Der Comic ist Teil der Bemühungen des Max­ Planck­Instituts für Sicherheit und Privatsphä­ re, die Grenzen der Wissenschaftskommuni­ kation zu erweitern und ihre Forschung einem breiten Publikum zugänglich zu machen. Die Kooperation mit der Comic­Kunst ermöglicht es, komplexe Themen wie IT­Sicherheit auf eine unterhaltsame und verständliche Art und Weise zu präsentieren. n IT-SICHERHEIT_4/2023 13

TITEL | CISIS12 CISIS12 ist ein praktisches Modell zur Einführung eines Informations sicher heits- managementsystems (ISMS) in 12 einfachen Schritten, das speziell für kleine und mittelständische Unternehmen sowie öffentliche Einrichtungen (KMO) entwickelt wurde. Das Ziel von CISIS12 besteht darin, den Aufbau und die Etablierung eines ISMS mithilfe einer klaren Norm zu unterstützen, die alle wichtigen Rahmen- bedingungen für die Informationssicherheit beleuchtet und die Grundlagen für das ISMS legt. Die Anwendung von CISIS12 wird durch konkrete Maßnahmen und Handlungsempfehlungen entlang der 12 Schritte begleitet. Um die Qualität und Wirksamkeit des implementierten ISMS zu bestätigen, kann die Einführung von CISIS12 von unabhängigen Zertifizierungsgesellschaften überprüft und testiert werden. Die neue Version 1.1 von CISIS12 wurde im Juni 2023 veröffentlicht. CICS steht für „Critical Informati­ on Infrastructure Cybersecurity“ – es geht also um die Stärkung der Cybersicherheit von kritischen Informati­ onsinfrastrukturen. Unternehmen müssen da­ bei unterschiedliche Compliance­Anforderun­ gen erfüllen. In erster Linie ist hier die DSGVO Art. 32, Abs. 1, lit d und die NIS­2­Richtlinie [1] (Network and Information Systems Directive 2) zu nennen. Bei NIS­2 handelt sich um eine eu­ ropäische Richtlinie, die darauf abzielt, die Cy­ bersicherheit in kritischen Infrastrukturen und digitalen Dienstleistungen zu verbessern. Sie erweitert die Vorgängerversion und damit den Anwendungsbereich­und­die­Pflichten­deutlich.­ Sie sieht verschiedene Maßnahmen vor, um das Ziel einer verbesserten Resilienz zu erreichen, darunter: ƒ Verpflichtende­Sicherheitsanforderungen:­ Betreiber von kritischen Infrastrukturen und digitalen Diensten müssen angemessene Sicherheitsvorkehrungen implementieren, um­Bedrohungen­zu­identifizieren­und­zu­ verhindern. ƒ Meldung von Sicherheitsvorfällen: Betreiber müssen Sicherheitsvorfälle an nationale Be­ hörden melden und Informationen über diese Vorfälle teilen, um die Reaktionsfähigkeit zu verbessern. ƒ Einrichtung von CSIRTs: Nationale Behörden m o c . e b o d a k c o t s - l . e s n a h o t o f : d l i B müssen Computer Security Incident Response Teams (CSIRTs) einrichten, um auf Sicherheits­ vorfälle reagieren zu können. ƒ Supply Chain Management: Sicherheit in der Lieferkette — bis zur sicheren Entwicklung bei Zulieferern ƒ Regelmäßige Sicherheitsaudits: Betreiber ƒ Procurement: Sicherheit in der Beschaffung müssen regelmäßig Sicherheitsaudits durch­ führen und ihre Sicherheitsmaßnahmen über­ prüfen, um sicherzustellen, dass sie ange­ messen sind und den aktuellen Bedrohungen entsprechen. von IT und Netzwerk­Systemen ƒ Effektivität: Vorgaben zur Messung von Cyber­ und Risikomaßnahmen ƒ Training:­Pflege­der­Cyber-Security-Hygiene ƒ Kryptografie:­Vorgaben­für­Kryptografie­und­ ƒ Zusammenarbeit zwischen Mitgliedstaaten: wo möglich Verschlüsselung Die Mitgliedstaaten müssen zusammenar­ beiten und Informationen austauschen, um Bedrohungen gemeinsam zu bekämpfen und die Cybersicherheit in Europa zu verbessern. Diese Maßnahmen sollen sicherstellen, dass Unternehmen und kritische Infrastrukturen in Europa und damit auch in Deutschland besser geschützt sind und dass sie in der Lage sind, auf Bedrohungen zu reagieren und Angriffe zu verhindern.[2] In der Praxis bilden der Aufbau und die nachhaltige Etablierung eines Informa­ tionssicherheitssystems (ISMS) ein wesentliches Fundament der Umsetzung der NIS­2­Richtlinie. In Art. 21 der NIS­2­Richtlinie werden vierzehn Kern­Anforderungen formuliert, die von einem ISMS erfüllt werden müssen.[3] Hierzu gehören: ƒ Policies: Richtlinien für Risiken und Informati­ onssicherheit ƒ Incident Management: Prävention, Detektion und Bewältigung von Cyber­Incidents ƒ Business Continuity: BCM mit Backup­ Management, DR, Krisenmanagement ƒ Personal: Human­Resources­Security ƒ Zugangskontrolle ƒ Asset Management (ISMS) ƒ Authentication: Einsatz von Multi­Faktor­ Authentifizierung­(MFA)­und­Single-Sign-on­ (SSO) ƒ Kommunikation: Einsatz sicherer Sprach­, Video­ und Text­Kommunikation ƒ Notfall­Kommunikation: Einsatz gesicherter Notfall­Kommunikations­Systeme Diese und weitere Anforderungen müssen von einem ISMS erfüllt werden. Hier fehlen in der Praxis oft passende Vorgehensmodelle, die kleinen und mittelgroßen Organisationen hel­ fen, ein ISMS schnell und einfach aufzubauen und nachhaltig zu betreiben. CISIS12 bildet hier einen probaten Lösungsansatz insbesondere für KMO. CISIS12 – ISMS IN KMO AUFBAUEN Gerade im KMO­Bereich fehlen oft die notwen­ digen Ressourcen und Expertisen zum Aufbau eines ISMS, mit dem die in der NIS­2­Richtlinie formulierten Maßnahmen umgesetzt wer­ IT-SICHERHEIT_4/2023 15

TITEL | CISIS12 tierung­von­klar­definierten­und­beschriebenen­ IT­Servicemanagementprozessen [9] bildet einen wesentlichen Erfolgsfaktor für die Steigerung der Informationssicherheit beziehungsweise den Reifegrad des ISMS. In Schritt 5 sind somit die drei wesentlichen IT­Servicemanagement­ prozesse (Wartungs­, Störungs­ und Änderungs­ prozesse)­organisationsspezifisch­aufzubauen,­ beziehungsweise die bereits in der Realität be­ stehenden Prozesse in das ISMS zu integrieren und fortzuentwickeln. Schritt 6: Compliance, Prozesse und Anwendungen CISIS12 hat die Anforderungen aus der Praxis aufgegriffen. Dazu zählen, die gesetzlichen An­ forderungen­und­vertraglichen­Verpflichtungen­ (Compliance) als auch die Prozesssicht in das Managementsystem zu integrieren. Dabei um­ fasst CISIS12 fünf Betrachtungsebenen, nämlich die Compliance­ und Prozessschicht sowie die Anwendungs­ und Infrastruktur­ und Gebäude­ ebene. Damit bietet CISIS12 eine Sichtweise auf Leitungsebene: „Welche rechtlichen Anforde­ rungen und Compliance­Anforderungen muss die Leitungsebene erfüllen und wie können diese in der Praxis umgesetzt werden (Corporate Governance)?“. Somit erleichtert das Vorgehens­ modell CISIS12 der Leitungsebene das Handeln und die Delegation der notwendigen Aufgaben zum Aufbau und zur Etablierung eines ISMS bei gleichzeitiger Erfüllung der gesetzlichen Vorga­ ben und Minimierung der Haftungsrisiken der Leitungsebene. Dies bedeutet, dass in Schritt 6 die für die Or­ ganisation wesentlichen Geschäftsprozesse identifiziert­und­hinsichtlich­der­Schutzbedarfe­ Vertraulichkeit, Integrität und Verfügbarkeit be­ wertet werden. Dies kann ebenso wie die Bau­ stein­ und Maßnahmenzuordnung toolgestützt erfolgen. Schritt 7: IT-Infrastruktur Die Erfassung der IT­Infrastrukturobjekte – auch Assets genannt (zum Beispiel Server, Clients, aktive Netzkomponenten etc.) leitet sich aus den in­Schritt­6­identifizierten­Geschäftsprozessen­ und den für diese Geschäftsprozesse notwendi­ gen Anwendungen ab und bildet eine wichtige Säule des ISMS [10].­Somit­findet­auch­hier­eine­ Vereinfachung für den Anwender statt. Damit kann die Aufmerksamkeit auf die Umsetzung der Baustein­ und Maßnahmenzuordnung ge­ lenkt werden. IT-SICHERHEIT_4/2023 17 Bild 2: CISIS12-Schritte und Schichtmodell sicherstellt. Wichtig ist jedoch, dass nach einer erstmaligen Sensibilisierung der Beschäftigten die Nachhaltigkeit durch das Schulungskonzept zielgruppenspezifisch­sichergestellt­wird. Schritt 3: Informations- sicherheitsteam Die für den Aufbau des ISMS notwendigen Rollen werden­hier­schriftlich­fixiert,­Aufgaben,­Rechte­ und­Pflichten­werden­festgelegt­und­ein­ISMS- Team wird formiert. Abhängig von der Organisa­ tionsgröße muss festgelegt werden, mit welchen Rollen das anstehende ISMS­Projekt durchge­ führt werden soll und welche Beschäftigten Rol­ len im Kernteam und welche Beschäftigten Rol­ len im erweiterten Sicherheitsteam einnehmen. Ungeachtet dieser Aufbauorganisation muss in jedem Fall ein Mitglied der Organisationsleitung in das erweiterte Team integriert werden [7]. Schritt 4: IT-Dokumentationsstruktur Der in einem Managementsystem immanente PDCA­Zyklus stellt das „P für Plan“ in den Vor­ dergrund. Kein erfolgreiches Projekt ohne guten Plan. Vor diesem Hintergrund wird in Schritt 4 des CISIS12­Vorgehensmodells die Erstellung und Fortschreibung einer für das ISMS passende Do­ kumentationsstruktur fokussiert [8]. Dabei muss eine Dokumentation, die einerseits die Organi­ sation bei dem Betrieb des ISMS unterstützen soll, aber auch andererseits als Nachweis für die Zertifizierung­dient,­die­Anforderungen­Struk­ turiertheit, Übersichtlichkeit, Vollständigkeit, Verständlichkeit, Korrektheit, Nachvollziehbar­ keit, Objektivität, Integrität und Authentizität er­ füllen.­Die­CISIS12-Norm­nennt­die­16­Pflichtdo­ kumente (zum Beispiel Leitlinie, Schulungs­ und Sensibilisierungskonzept über Betriebshandbuch und Netzplan bis hin zu einem Managementbe­ richt inklusive Umsetzungs­ und Risikobehand­ lungsplan und Notfallhandbuch). Neben diesen zertifizierungsrelevanten­Referenzdokumen­ ten entstehen beim Durchlaufen der 12 Schritte zwangsläufig­weitere­Dokumente,­zum­Beispiel­ Arbeitsanweisungen, Prozessbeschreibungen oder Konzepte. Nahezu alle Dokumentationen müssen den Beschäftigten bekanntgemacht werden. Schritt 5: IT-Servicemanagement Einer der wesentlichen Unterschiede zu ande­ ren ISMS­Vorgehensmodellen ist die Imple­ mentierung des IT­Servicemanagements in das CISIS12­Vorgehensmodell. Gerade die Implemen­

genutzt werden können. Die Software verbindet zudem die Themen Informationssicherheit und Datenschutz, um eine umfassende Sicherheits­ lösung zu bieten. Dadurch wird der Aufbau eines wirksamen­und­flexiblen­ISMS­für­Unternehmen­ erleichtert. Das Management von Informationssicherheit ist eine wichtige Führungsaufgabe. Die Auswahl ei­ nes bestimmten Standards hängt von verschie­ denen Faktoren ab, wie Skalierbarkeit und ver­ fügbare Ressourcen im Unternehmen. Die Größe allein ist nicht entscheidend, sondern vielmehr, wie viele Ressourcen für die Implementierung und Aufrechterhaltung des Informationssicher­ heitssystems benötigt werden, die Berücksichti­ gung relevanter Lieferanten in der IT­Leistungs­ erbringungskette und die Risiken des Betriebs eigener oder fremder Infrastrukturen. CISIS12 erfüllt als eigenständiger Standard die Anforderungen für die ISMS­Einführung, aber es kann auch mit anderen relevanten Standards wie ISO, Grundschutz, Automotive, kritische In­ frastrukturen und Datenschutz kombiniert wer­ den. Es wurde speziell für die Anforderungen der Wirtschaft und des öffentlichen Dienstes entwi­ ckelt­und­kann­in­Richtung­BSI-Kommunalprofil­ erweitert werden. Das Tool M24S bietet ein leistungsfähiges und hochverfügbares System in einem deutschen Rechenzentrum als Clouddienstleistung. Es wächst mit dem ISMS mit und unterstützt un­ terschiedliche Branchen mit verschiedenen Ma­ nagementsystemen, wie CISIS12 und BSI­Kom­ munalprofil.­Dabei­bleibt­die­Datensouveränität­ bei der Organisation, da sensible Daten nicht zwingend in der Cloud gespeichert werden. ISMS­Normen haben ähnliche Ziele, aber CISIS12 geht einen anderen Weg. Durch seine offene Ar­ chitektur können verschiedene interne und ex­ terne Interessen erfüllt werden. Das Vorgehens­ modell von CISIS12 ermöglicht die Umsetzung der CISIS12­Anforderungen sowie anderer Nor­ men, entweder separat oder in Kombination. Es kann auch inhaltlich verwandte Anforderungen oder Standards wie Datenschutz in den Prozess einbeziehen, unterstützt durch das empfohlene Tool M24S. CISIS12 verzeichnet ein starkes Wachstum und eine hohe Nachfrage mit über 300 ausgege­ benen­Zertifikaten.­Es­wird­von­Industrie-­und­ Beratungsunternehmen sowie dem öffentli­ chen Sektor genutzt und hat auch Interesse von weiteren­Zertifizierungsgesellschaften­geweckt.­ Die Verbreitung erstreckt sich von Nord nach Süd und West nach Ost in Deutschland und den benachbarten DACH­Regionen. Die strukturierte Herangehensweise von CISIS12 hat sich als er­ folgreich und nachhaltig erwiesen. n CISIS12 ist darauf ausgerichtet, Organisationen anzusprechen, für die BSI oder ISO 27001 zu umfassend, zu aufwendig oder zu abstrakt sind, oder deren Einstiegshürde zu hoch ist. Darüber hinaus kann CISIS12 für Organisationen nützlich sein,­die­branchenspezifische­Sicherheitsstan­ dards wie den B3S Krankenhaus, den Kommu­ nalkatalog des BSI oder den I­KFZ­Katalog des KBA einsetzen müssen. Es bietet auch die Mög­ lichkeit einer kontinuierlichen Weiterentwick­ lung des ISMS in erweiterten Ausrichtungen. FAZIT, EMPFEHLUNG UND AUSBLICK CISIS12 hebt sich von anderen Standards ab, da es nicht nur einen festen Katalog an Maßnah­ men bietet, sondern den Anwendern ermöglicht, professionell und schrittweise ein ISMS einzu­ führen, auch ohne spezielles Projektmanage­ ment­Know­how oder externe Beratung. Die schrittweise Umsetzung erleichtert die Erstellung von Konzepten und die Umsetzung von techni­ schen und organisatorischen Maßnahmen. Literatur [1] P. Weissmann, ‘Die neue EU NIS 2 Direktive für Cyber Security in KRITIS’, 2023. https://www.openkritis.de/it-sicherheitsgesetz/ eu-nis-2-direktive-kritis.html (accessed May 09, 2023). [2] P. Eckhardt and A. Kotovskaia, ‘The EU’s cybersecurity framework: the interplay between the Cyber Resilience Act and the NIS 2 Directive’, Int. Cybersecurity Law Rev., vol. 4, no. 2, pp. 147–164, Jun. 2023, doi: 10.1365/s43439-023-00084-z. [3] F. Moses, K. Sandkuhl, and T. Kemmerich, ‘Empirical Study on the State of Practice of Information Security Management in Local Government’, in Human Centred Intelligent Systems, A. Zimmermann, R. J. Howlett, and L. C. Jain, Eds., in Smart Innovation, Systems and Technologies. Singapore: Springer Nature, 2022, pp. 13–25. doi: 10.1007/978-981-19-3455-1_2. [4] F. Moses, K. Sandkuhl, and T. Kemmerich, ‘Empirical Study on the State of Practice of Information Securty Maturity Management in Local Government.’, in Human Centred Intelligent Systems 2022 - Proceeding of the 15th International Conference on Human Centred Intelligent Systems (KES-HCIS-22). Smart Innovation, Systems and Technologies., A. Zimmermann, Ed., Springer. Accepted for publication. To appear June 2022., 2022. [5] R. Tatiara, A. N. Fajar, B. Siregar, and W. Gunawan, ‘Analysis of factors that inhibiting implementation of Information Security Management System (ISMS) based on ISO 27001’, J. Phys. Conf. Ser., vol. 978, no. 1, p. 012039, Mar. 2018, doi: 10.1088/1742- 6596/978/1/012039. [6] P. Choejey, D. Murray, and C. Che Fung, ‘Exploring Critical Success Factors for Cybersecurity in Bhutan’s Government Organizations’, in Computer Science & Information Technology ( CS & IT ), Academy & Industry Research Collaboration Center (AIRCC), Dec. 2016, pp. 49–61. doi: 10.5121/csit.2016.61505. TITEL | CISIS12 [7] V. Susukailo, I. Opirsky, and O. Yaremko, ‘Methodology of ISMS Establishment Against Modern Cybersecurity Threats’, in Future Intent-Based Networking, M. Klymash, M. Beshley, and A. Luntovskyy, Eds., in Lecture Notes in Electrical Engineering. Cham: Springer International Publishing, 2022, pp. 257–271. doi: 10.1007/978-3-030-92435-5_15. [8] J. H. Awan, ‘Security strategies to overcome cyber measures, factors and berriers’, Eng. Sci. Technol. Int. Res. J., vol. Vol.1, No. 1, Apr. 2017. [9] A. CHODAKOWSKA, S. KAŃDUŁA, and J. PRZYBYLSKA, ‘Cybersecurity in the Local Government Sector in Poland: More Work Needs to be Done’, Lex Localis - J. Local Self-Gov., vol. Vol. 20, No. 1, Jan. 2022. [10] F. Kitsios, E. Chatzidimitriou, and M. Kamariotou, ‘Developing a Risk Analysis Strategy Framework for Impact Assessment in Information Security Management Systems: A Case Study in IT Consulting Industry’, Sustainability, vol. 14, no. 3, Art. no. 3, Jan. 2022, doi: 10.3390/su14031269. [11] N. Pohlmann, ‘Ohne IT-Sicherheit gelingt keine nachhaltige Digitalisierung’, in Digitalisierung im Spannungsfeld von Politik, Wirtschaft, Wissenschaft und Recht, C. Bär, T. Grädler, and R. Mayr, Eds., Berlin: Springer Gabler, 2018. [12] N. Pohlmann, K. M. Caramancion, I. Tatar, Y. Li, M. Barati, and T. Merz, ‘The Organizational Cybersecurity Success Factors: An Exhaustive Literature Review’, in Advances in Security, Networks, and Internet of Things, K. Daimi, H. R. Arabnia, L. Deligiannidis, M.-S. Hwang, and F. G. Tinetti, Eds., in Transactions on Computational Science and Computational Intelligence. Cham: Springer International Publishing, 2021, pp. 377–395. doi: 10.1007/978-3-030-71017-0_27. [13] B. Preis and L. Susskind, ‘Municipal Cybersecurity: More Work Needs to be Done’, Urban Aff. Rev., vol. 58, no. 2, pp. 614–629, Mar. 2022, doi: 10.1177/1078087420973760. FRANK MOSES ist Forscher am Lehrstuhl für Wirt schaftsinformatik von Prof. Dr. Kurt Sandkuhl an der Universität Rostock. Er hält neben seinem Diplom als In for matiker noch einen universitären Ab schluss in Wirt- schaftswissenschaften. THOMAS REHBOHM, Dipl.-Ing. (FH), ist Forscher am Lehr- stuhl für Wirtschaftsinformatik von Prof. Dr. Kurt Sandkuhl an der Univer- sität Rostock. Er ist ausgebildeter Kommunikationselektroniker und studierte anschließend Elektrotechnik mit der Fachrichtung Informations- technik an der Hochschule Bremen. IT-SICHERHEIT_4/2023 19

SCHWERPUNKT: ENDPOINT-SECURITY Bild 1: Beispielhaftes Dashboard des IIoT-Monitorings mit Angriffserkennung und -abwehr mit Übersicht aller Systeme, Anomaliemeldungen und Kommunikations- statistiken (Quelle: Rhebo) RISIKEN IM MINUTENTAKT Die Risikolandschaft im Bereich IIoT­Anwendun­ gen wird anhand von Ergebnissen eines Monito­ rings weltweit verteilter kritischer Edge Devices deutlich. Im Juni 2023 bestand das betreffende Netzwerk aus über 60.000 Geräten auf sieben Kontinenten, die mit einem zentralen Betriebs­ management­ und Monitoringsystem verbun­ den waren. Vor der Implementierung eines Sicherheitsmonitorings mit Angriffserkennung und ­abwehr konnten zwar Leistungsparameter der hochwertigen Edge Devices zentral über­ wacht und gesteuert werden, jedoch fehlten bislang Sichtbarkeit und Schutzmechanismen gegen Cyberattacken und digitale Störungen. Bereits während der initialen Risikoanalyse, die als Grundlage für die Entwicklung und Imple­ mentierung des kontinuierlichen Monitorings mit Sicherheitsautomatisierung dient, wurden verschiedene zuvor verborgene Cyberrisi­ ken­identifiziert.­Beispielsweise­hatten­falsch­ konfigurierte­Geräte­unerlaubten­Zugang­zum­ Internet, was das Angriffspotenzial erheblich erhöhte. Zudem wurden unsichere Kommu­ nikationsverfahren festgestellt, die von einem kritischen Drittanbieter genutzt wurden. Es wurden auch Hardware­Defekte und Soft­ warefehler an einigen Geräten entdeckt, die zu Sicherheits­ und Verfügbarkeitsproblemen führten. Basierend auf der Analyse der Risiko­ landschaft, Hardware­ und Softwareparameter wurde eine effektive und sinnvolle Sicherheits­ strategie­entwickelt,­welche­die­Definition­der­ Baseline­Kommunikation und kritischer abzu­ wehrender Vorgänge umfasste. Das industri­ elle Sicherheitsmonitoring wurde nachfolgend speziell auf die Edge Devices zugeschnitten und konzentrierte sich auf drei Aspekte: 1. Die schlanke Programmierung und Containe­ risierung der Sicherheitslösung ermöglichte eine Ressourcenschonung der Edge Devices sowie eine zentrale, ferngesteuerte Bereit­ stellung und Verwaltung auf allen Geräten. 2. Das Sicherheitsmonitoring sollte eine globale Sichtbarkeit über alle Auffälligkeiten auf ei­ nem zentralen Dashboard bieten. 3. Kritische Sicherheitsvorfälle sollten direkt auf den Edge Devices blockiert werden, um eine Ausbreitung auf andere Geräte zu verhindern. Im Zweifelsfall wird seitdem das betroffene Edge Device komplett vom Netzwerk ge­ trennt. Nicht kritische Anomalien sollten in Echtzeit dem Monitoringteam gemeldet wer­ den, das anhand der PCAPs (Packet Captures, eine freie Programmierschnittstelle, um Netz­ werkverkehr mitzuschneiden) und Kommuni­ kationsmuster eine weiterführende Prüfung vornehmen kann. Nach der Implementierung des kontinuierli­ chen Sicherheitsmonitorings wurden auch die täglichen Risiken und Angriffsversuche sichtbar (Bild 2).­Hierzu­gehörten­Portscans,­nicht­autori­ sierte Anfragen über HTTP und DHCP, veralte­ te Protokolle, unverschlüsselte Kommunika­ tion und fehlerhafte Zugriffe. Innerhalb eines Zeitraums von nur sieben Tagen wurden über 2.200 relevante Auffälligkeiten auf den verteil­ ten­Edge­Devices­identifiziert­und­gemeldet.­ Entsprechend den Sicherheitsrichtlinien wurden kritische Auffälligkeiten direkt auf den Geräten blockiert, um eine Eskalation zu verhindern. LOKALE UND ZENTRALE OT-SICHERHEIT WACHSEN ZUSAMMEN Die lokale und zentrale OT­Sicherheit verschmel­ zen in den Bereichen IoT und IIoT wie in keinem IT-SICHERHEIT_4/2023 21

– ADVERTORIAL – Identitäts- sicherheit – Die nächste Stufe für den Endpunkt- schutz Die unablässige Innovation von Cyberangreifern macht die IT­Sicherheit zu einer ständigen Herausforderung für Security­Teams. Jeden Tag tauchen neue Schwachstel­ len in Anwendungen und Betriebssystemen auf, was zu einem endlosen Kampf um die Aufrechterhaltung der Sicherheit führt. Viele Unterneh­ men sind bereits einen wichtigen Schritt gegangen und haben Endpoint Detection and Response (EDR)­Lösungen eingeführt. Doch reiner End­ punktschutz ist angesichts der heutigen Bedrohungslandschaft schlicht­ weg nicht mehr ausreichend. Um immer komplexere Angriffe abzuwehren, entsprang aus den Wur­ zeln traditioneller EDR die Extended Detection and Response (XDR). XDR zentralisiert und verarbeitet Daten von verschiedenen Endpunkten und Sicherheitstools,­um­Bedrohungen­zu­identifizieren­und­zu­neutralisieren.­ Während diese Technologie bereits einen großen Fortschritt darstellt, ig­ norieren viele der gängigen Lösungen jedoch eine entscheidende Kompo­ nente: die Identitätssicherheit. Anmeldedaten und Benutzeridentitäten sind ein bevorzugtes Ziel für die Angriffe von Cyberkriminellen, da die Angreifer dieselben Privilegien und Zugriffsrechte wie der echte Benutzer erlangen, wenn es ihnen gelingt, diese Informationen zu stehlen. Aus diesem Grund können Unternehmen sich nicht auf eine Sicherheitsstrategie verlassen, die lediglich den Zugriff auf das Netzwerk reguliert, denn in diesem Fall wird das Risiko vernach­ lässigt, dass ein einziger kompromittierter Endpunkt – oder eine kom­ promittierte Zugangsberechtigung im Active Directory (AD) – die gesamte Organisation gefährden kann. Der kritische Faktor Identitätssicherheit Um diese Lücke zu schließen, wurde Identity Threat Detection and Re­ sponse (ITDR) entwickelt. ITDR­Technologien umfassen die Erkennung von identitätsbasierten Angriffen und schränken somit die Möglichkei­ ten eines Angreifers ein, sich lateral im Netzwerk zu bewegen, indem sie­Fehlkonfigurationen­und­überprivilegierte­Konten­erkennen.­Die­ m o c . e b o d a k c o t s - s i . m _ i l a t a n : d l i B fortschritt lichen Identitäts­Lösungen von SentinelOne wie Ranger AD und Singularity Identity­identifizieren­allerdings­nicht­nur­identitätsbasierte­ Angriffe, sondern sorgen im Zusammenspiel mit Singularity Hologram auch dafür, dass Angreifer im System durch digitale falsche Fährten gekö­ dert, ausgebremst und schließlich aufgedeckt werden können. Die Singularity­Plattform bietet die Basis und Ausgangslage für eine ganzheitliche Cybersicherheitsstrategie. SentinelOne kombiniert ITDR mit seinem Kernprodukt Singularity XDR, das die gesamte Angriffskette ana­ lysiert, sobald ein identitätsbasierter (oder sonstiger) Angriff erkannt wird. Die Lösung bietet auch automatische Reaktionen, um den Zugriff durch kompromittierte Benutzeranmeldedaten einzuschränken und Cyberbe­ drohungen nicht nur zu erkennen, sondern sie im Keim zu ersticken. Moderne Cybersicherheit durch ganzheitlichen Schutz von Endpunkten und Identitäten Im Zuge der Weiterentwicklung des Endpunktschutzes zu XDR wird die Identitätssicherheit immer wichtiger. Identitätsbasierte Erkennung und Reaktion auf Bedrohungen stärkt die Verteidigung eines Unternehmens gegen komplexe Bedrohungen, sichert Daten und Systeme effektiv und bereitet auf die Zukunft der Cybersicherheit vor. SentinelOne ist Ihr zuverlässiger Verbündeter auf diesem Weg und bietet robuste, maßgeschneiderte Lösungen für das digitale Zeitalter. Erfahren Sie auf unserer Website mehr dazu, wie Sie ihr Unternehmen gegen moderne Cyberbedrohungen schützen können: www.sentinelone.com IT-SICHERHEIT_4/2023 23

SCHWERPUNKT: ENDPOINT-SECURITY 2. Sie verbringen Arbeitszeit auf Spiele­Web­ seiten. 3. Sie versenden sogenannte Graymails, E­Mails mit großen Empfängerkreisen, die im Zweifel als Spam­E­Mails eingestuft werden und von den Filtern gerettet werden, was letztlich die Schutzmaßnahmen gegen Phishing­E­Mails schwächt. 4. Sie besuchen Webseiten für Erwachsene, die potenziell Malware und Verlinkungen zu bösartigen Inhalten enthalten können. 5. Sie führen unerlaubte oder bösartige Anwen­ dungen aus, nachdem sie diese zuvor herun­ tergeladen haben. 6. Sie entdecken riskante Webseiten und rufen sie auf. 7. Sie nutzen unerlaubte Wechselmedien wie USB­Sticks, sowohl eigene als auch gefun­ dene. 8. Sie geben unerlaubt persönliche Informatio­ nen weiter. 9. Immer mehr Mitarbeiter greifen auf Cloud­ Backup oder Cloud­Speicher zu. 10. Wie bereits in Berichten, wie dem von Veri­ zon, erwähnt wurde, öffnen Mitarbeiter bös­ artige E­Mail­Anhänge. Wenn also schädliches Verhalten erfolgreiche Cyberangriffe begünstigt und Branchenreports dieses­auch­als­Schwachstelle­identifizieren,­ sollten Unternehmen Maßnahmen zu deren Be­ hebung ergreifen. Für viele Jahre jedoch wurde in zu vielen Unternehmen die IT­Sicherheit rein auf der Technikebene diskutiert. Mitarbeiter und wie sie besser vor Phishing und anderen Social Engineering­Methoden geschützt werden kön­ nen, kamen in vielen Sicherheitsstrategien nicht vor. Langsam ändert sich jedoch etwas und die Security Awareness hat sich von einem Nischen­ dasein hin zu einem wichtigen Element der Unternehmenskultur entwickelt. Von der reinen Awareness muss nun der Übergang zur nachhal­ tigen Verhaltensänderung erfolgen, zusammen mit der Etablierung einer starken Security­Cul­ ture. Aus diesem Grund gibt es nun eine eige­ ne Kategorie, um die Bewertung des eigenen Ist­Zustandes in Sachen Security Awareness zu vereinfachen. HUMAN DETECTION AND RESPONSE ALS NEUE SECURITY-KATEGORIE Human Detection and Response (HDR) ist in sei­ ner Konzeption ähnlich wie Extended­Detection and Response (XDR), jedoch liegt der Fokus von HDR auf der menschlichen Ebene einer Cybersi­ cherheitsstrategie.­Es­korreliert,­identifiziert­und­ reagiert auf Zehntausende von erkannten Cyber­ ereignissen, die mit dem riskanten Sicherheits­ verhalten der Benutzer in Verbindung stehen und innerhalb der bestehenden Sicherheitsin­ fra struktur auftreten. Als Resultat führt HDR zu einer erheblichen Zeitersparnis für das chro­ nisch überlastete Security­Operations­Center­ (SOC)­Team. Die Menge an durch wiederholtes Risikoverhalten verursachten Warnmeldungen wird reduziert, sodass sich die SOC­Mitarbeiter verstärkt auf Cyberbedrohungen mit höherer Priorität konzentrieren können. Um eine Verhaltensänderung herbeizuführen, ist es entscheidend, Benutzer kontinuierlich und möglichst in Echtzeit zu trainieren und zu schulen. Konstruktives Feedback nach einem Vorfall kann nicht nur emotionale Spannungen und Schamgefühle auffangen, sondern auch nachhaltig zur Entwicklung von Verhaltenskom­ petenz­beitragen.­Hierbei­können­benutzerdefi­ nierte Kampagnen eingesetzt werden, um ein­ zelne Mitarbeiter gezielt weiterzubilden. Dieser kontextuelle Ansatz eröffnet neue Möglichkeiten im Bereich des Trainings. Am Ende führt dies zu einer­geschlossenen­und­effizienten­Abwehr­ kette, die es den Angreifern immer schwieriger macht, erfolgreich einzudringen. LÖSUNGSANSATZ ECHTZEIT-COACHING Sichere Verhaltensweisen sind ein deutlicher Indikator für eine fortgeschrittene Sicherheits­ kultur. Echtzeit­Coaching spielt hierbei eine ent­ scheidende Rolle, indem Benutzern Lerninhalte als Reaktion auf riskantes Sicherheitsverhalten bereitgestellt werden. IT­Sicherheitsexperten können ihre Echtzeit­Coaching­Kampagnen so konfigurieren,­dass­sie­den­Benutzern­sofort­ einen Sicherheitstipp zu erkannten Vorfällen geben. Ein typisches Beispiel für riskantes Verhalten ist das­Öffnen­eines­infizierten­E-Mail-Anhangs,­ der Ransomware im Firmennetzwerk verbrei­ ten könnte. Ebenso kann es sich um den Versuch handeln, eine Webseite mit eingeschränktem Inhalt auf einem Arbeitscomputer zu besuchen. In solchen Fällen erkennen die Sicherheitspro­ dukte das Verhalten und erstellen eine Ereig­ niswarnung. Eine spezielle Coaching­Software verknüpft dieses Ereignis mit relevanten Lern­ inhalten und sendet dann über Plattformen wie Microsoft Teams, Slack oder per E­Mail einen Sicherheitstipp an den Benutzer, der vor dem Öffnen der Webseite oder des E­Mail­Anhangs warnt und eine Erklärung liefert. Die Möglichkeiten, die durch Echtzeit­Coaching entstehen, lassen sich wie folgt zusammenfas­ sen: 1. Echtzeit­Coaching basierend auf riskantem Benutzerverhalten: Mitarbeiter erhalten über Kollaborationsplattformen wie Microsoft Teams oder Slack sofortiges Feedback, wenn riskantes Verhalten auftritt. 2. Durch das Zusammenspiel mit bestehen­ den Endpoint­Security­Lösungen können Warndaten über erkannte Benutzerereignis­ se ausgelöst werden, die ein Risiko für das Unternehmen darstellen. 3. Verbesserung des menschlichen Risikos in Echtzeit: Mit einem datengesteuerten Ansatz können­menschliche­Risiken­quantifiziert­ und reduziert werden, indem Echtzeit­Ver­ haltenscoaching mit bestehenden Technolo­ gien kombiniert wird. 4. Effizienzsteigerung­für­Security-Analysten:­ Die Auslastung des Security­Operations­Cen­ ters wird durch Automatisierung und Redu­ zierung riskanter Benutzerverhalten verrin­ gert, wodurch sie sich auf höher priorisierte Cyberbedrohungen konzentrieren können. Die Einführung von Human Detection and Response als neue Security­Kategorie könn­ te den lang ersehnten Durchbruch im Kampf gegen Social­Engineering­Angriffe und andere menschliche Schwächen bringen. Es ist an der Zeit, die Sicherheitskultur zu stärken und die Belegschaft zu einer entscheidenden Verteidi­ gungslinie gegen Cyberbedrohungen zu ma­ chen. Die Zukunft der Sicherheit liegt nicht nur in der Technologie, sondern auch im Menschen – mit HDR als Leitfaden in der neuen Ära der Security Awareness. n DR. MARTIN J. KRÄMER, Security Awareness Advocate bei KnowBe4 IT-SICHERHEIT_4/2023 25

– ADVERTORIAL – leistungsfähige DLP­Funktionalitäten (Data Loss Prevention) auch, dass sensible Daten wie Kreditkartendaten oder personenbezogene Informati­ onen das Unternehmen verlassen. Wie schnell können die Unternehmen denn von einer KI- und ML-ge- stützten Lösung wie Harmony profitieren – müssen sie da einen länge- ren Anlernprozess einplanen? Nein, gar nicht. Die Installation der Lösung nimmt nur einige Minuten in Anspruch, und erfahrungsgemäß dauert es nur wenige Stunden, bis die Administratoren die ersten konkreten Ergebnisse sehen. Dazu gehört übrigens immer auch ein automatischer, rückwirkender Scan der Nach­ richten, die bereits im Unternehmen liegen – einfach, um sicherzustel­ len, dass sich nicht längst Angreifer im Netzwerk festgesetzt haben. Die Lizenzierung ist ähnlich einfach: Sämtliche Security­Funktionalitäten für E­Mail und Collaboration sind im Umfang der Standardlizenz enthalten. Das vereinfacht das Lizenzmanagement ganz erheblich und hilft, die TCO zu senken. Herzlichen Dank für das Gespräch. Mehr Informationen zur Check Point Cloud Email & Collaboration Suite Security erhalten interessierte Leser unter: p.westconcomstor.com IT-SICHERHEIT_4/2023 27 richten gibt. Dieses Wissen legt der Filter dann an, um die Authentizität seiner­Nachrichten­zu­verifizieren­und­Phishing-Nachrichten­zuverlässig­zu stoppen.Ein spannendes Thema. Aber uns fehlt noch die dritte Abwehrtechno-logie, richtig?Das wäre unsere mehrfach ausgezeichnete Lösung SandBlast – eine Sandboxing-Plattform,­die­potenziell­gefährliche­Files­in­einer­geschütz-ten Umgebung öffnet, um ihr Schadenspotenzial bewerten zu können. Damit lassen sich ebenfalls viele unbekannte und insbesondere auch evasive Schadprogramme in Anhängen erkennen. Das funktioniert heut-zutage­übrigens­sehr­schnell:­Bis­SandBlast­einen­Anhang­als­gefährlich­eingestuft,­ihn­aus­der­Nachricht­entfernt­und­den­Rest­der­E-Mail­zuver-lässig zugestellt hat, vergehen keine zwei Sekunden – niemand muss also befürchten,­dass­die­Produktivität­durch­das­Sandboxing­leidet.Wie zuverlässig ist die Kombination der Filter denn?Unsere­Erkennungsrate­liegt­bei­über­99,9­Prozent.­Die­Anwender­können­sich also wirklich auf uns verlassen.Und der Schutz erstreckt sich über die E-Mail-Kommunikation hinaus auch auf andere Cloud-Anwendungen?Ja.­Harmony­deckt­neben­MS365­und­G-Suite­auch­die­wichtigsten­File-sharing-Dienste­ab,­darunter­SharePoint,­Box,­Dropbox­und­OneDrive­–­und­schützt­auch­Echtzeit-Collaboration-Tools­wie­Microsoft­Teams­und­Slack; das sowohl in der externen als auch in der internen Kommunikati-on,­und­eingehend­wie­ausgehend.­Heißt­konkret:­Wir­stoppen­nicht­nur­Bedrohungen auf dem Weg ins Unternehmen, sondern verhindern durch

CYBERSICHERHEIT | QUANTENCOMPUTER IT-SICHERHEIT_4/2023 29 Das­Thema­Quantencomputing­ ist aktueller denn je. Weltweit liefern sich Universitäten, Spit­ zenlabors und Weltkonzerne einen intensiven Wettbewerb bei der Entwicklung leistungsfä­ higer­Quantencomputer.­Insbesondere­nach­ dem öffentlichkeitswirksamen Aufschwung von künstlicher Intelligenz (KI) zählen führende Unternehmen­die­Tage,­bis­auch­das­Quanten­ computing „Mainstream“ wird. DAS POTENZIAL VON QUANTENCOMPUTERN Quantencomputing­verbindet­die­Quantenphy­ sik mit der Informatik und verspricht eine bis­ lang für unmöglich gehaltene Rechenleistung. Statt­mit­klassischen­Bits­arbeiten­Quantencom­ puter­mit­Quantenbits,­auch­Qubits­genannt.­Im­ Gegensatz zu den klassischen Bits der Binärin­ formatik, welche die Zustände 1 oder 0 anneh­ men­können,­können­Qubits­eine­Überlagerung­ dieser beiden Zustände darstellen. Dadurch ermöglichen sie (eine bestimmte Art von) paral­ lelen Rechenoperationen, welche die Rechen­ leistung exponentiell mit der Anzahl der verfüg­ baren­Qubits­steigern. Die­Begeisterung­für­Quantencomputing­und­ Quanteninformatik­ist­deutlich­spürbar.­Die­ Quanteninformatik­birgt­ein­enormes­Poten­ zial zur Lösung komplexer Herausforderungen, beispielsweise in Bereichen wie Klimamodel­ Durch die Entwicklung und Nutzung von Quantencomputern steht die Cyber-sicherheit vor einem dramatischen Kipppunkt. Die heutige Standard-verschlüsselung wird in naher Zukunft einfach nicht mehr ausreichend sicher sein. Vor dem Hintergrund exponentiell gestiegener politischer Spionage und kommerziell motivierter Cyberangriffe steigt das Risiko ins Unermessliche. Es ist daher von höchster Bedeutung, dass Politik, Wirtschaft und Gesellschaft für die Relevanz von Quantum Cybersecurity sensibilisiert werden und entsprechende Gegenmaßnahmen vorbereitet und umgesetzt werden.len oder dem Gesundheitswesen. Forschende möchten die Wechselwirkungen von Molekülen oder deren mögliche Zustände simulieren, was zu einem Durchbruch bei der Entwicklung neuer Medikamente führen könnte. Anwendungen der künstlichen Intelligenz und die Verarbeitung von Big Data könnten mit Quantencomputern einen gewaltigen Sprung nach vorn machen. Krankheiten oder das Wetter könnten langfristig vorhergesagt werden, da Quantensimulationen gleichzeitig Millionen von Variablen – vergange­ne, gegenwärtige und sogar zukünftige – in die Berechnung einbeziehen können.CYBERRISIKEN DURCH QUANTENCOMPUTERDie Entwicklung von Quantencomputern birgt zweifellos viele Vorteile, aber es dürfen auch die möglichen Nachteile nicht außer Acht gelassen werden. Der Einsatz von Quantencomputern bringt die Bedrohung der Cybersicherheit auf ein deutlich höheres Niveau.Heutzutage nutzen wir asymmetrische Ver­schlüsselung­(Kryptografie)­zum­Schutz­sensibler­Daten und zur sicheren Übertragung von Infor­mationen. Doch in der Ära der Quantencomputer wird dieses Verfahren mit einem öffentlichen und einem privaten Schlüssel nicht mehr ausrei­chend sicher sein. Die bisherige „Standardsicher­heit“ wird ausgehebelt, da Quantencomputer private Schlüssel innerhalb weniger Minuten entschlüsseln können. Das bedeutet, dass der Zugriff auf Bankkonten, persönliche Gesund­heitsakten oder vertrauliche Firmeninformatio­nen nicht mehr geschützt ist.Daher ist es dringend erforderlich, Politik, Wirt­schaft und Gesellschaft für dieses Thema zu sensibilisieren und jetzt schon in Verfahren für quantensichere Kommunikation zu investieren. Die USA haben bereits 2022 eine Roadmap für den Übergang zu neuen Verschlüsselungsver­fahren angekündigt und damit eine Vorreiterrol­le eingenommen.Auch in Europa werden sichere Schlüssel und eine abhörsichere Schlüsselverteilung auf Basis innovativer Kommunikationstechnologien benö­tigt, insbesondere in Bereichen wie kritische In­frastruktur, Gesundheitswesen und Verwaltung. Es ist wichtig, dass wir frühzeitig Maßnahmen ergreifen, um uns vor den potenziellen Sicher­heitsrisiken zu schützen, welche die Quanten­computertechnologie mit sich bringt.MIT QUANTUM CYBERSE-CURITY DAGEGENHALTENDennoch ist die Quantentechnologie natürlich nicht per se ein „Gegner“ der Cybersicherheit, sondern kann ebenso zur Generierung leis­tungsfähiger Verschlüsselung genutzt werden. Mithilfe der Quantentechnologie ist es zum Beispiel erstmals möglich, mathematisch be­

– ADVERTORIAL – Effizienz von Cloud- Anwendungen neu definiert: Vorteile der Cloud für Unternehmenswachstum Derzeit nutzen 89 Prozent der Unternehmen Cloud Computing. Da- bei wollen 56 Prozent bereits in fünf Jahren mehr als die Hälfte ihrer IT-Anwendungen aus der Cloud betreiben. Das zeigt eine aktuelle Studie des Bitkom. Sie bieten Flexibilität, Skalierbarkeit, verbesserte Zusammenarbeit und Kosteneinsparungen. Unternehmen, die Cloud-Anwendungen nutzen, können ihre Effizienz steigern, Innovationen vorantreiben und Wettbewerbsvorteile erlangen. Unser Weiterbildungsangebot im Bereich Microsoft Cloud In diesem Zusammenhang hat die Bitkom Akademie zwei Lehrgän- ge zu Cloud-Anwendungen entwickelt. Lernen Sie, wie die Cloud- Anwendung korrekt implementiert, gegen Angreifer abgesichert und gleichzeitig compliant gestaltet wird. Dazu zählen die Lehrgän- ge Microsoft Cloud Grundlagen und Microsoft Cloud Security Expert. Ergänzend dazu erfahren Sie im Lehrgang Masterclass Windows Security, wie Sie in Ihrer On-Premise-Windows-Infrastruktur Sicher- heitslücken schließen. n Sie haben Fragen zu diesem oder anderen Seminaren im Bereich IT-Sicherheit? Dann kontaktieren Sie Steve Schramm: s.schramm@bitkom-service.de Tel.: 030 27576-263 https://bitkom-akademie.de/seminare Diese Zahlen beweisen, dass Cloud Computing auf dem Vormarsch ist und sich als führende Plattform für Unternehmen etabliert. Sie bietet eine umfangreiche Palette von nahtlos integrierbaren Anwendungen, die Arbeitsabläufe optimieren und Kosten senken können. Microsoft als einer der führenden Cloud-Anbieter hat zum Beispiel vorgesorgt und weltweit Rechenzentren eingerichtet, um eine schnelle und zuverlässige Bereitstellung von Diensten zu ge- währleisten. Weiterentwicklung der Cloud-Anwendungen Cloud-Anwendungen haben in den letzten Jahren eine erhebliche Verbesserung in Bezug auf Skalierbarkeit erfahren, indem sie Un- ternehmen ermöglichen, ihre Ressourcen flexibel an steigende An- forderungen anzupassen. Die Sicherheit von Cloud-Anwendungen wurde deutlich gestärkt, da Cloud-Anbieter fortschrittliche Sicher- heitsmaßnahmen implementiert haben, um die sensiblen Daten der Kundinnen und Kunden zu schützen. Durch den Einsatz von künstlicher Intelligenz (KI) und maschinellem Lernen (ML) bieten Cloud-Anwendungen nun intelligente und auto- matisierte Funktionen, die Unternehmen dabei unterstützen, Mus- ter in Daten zu erkennen, personalisierte Empfehlungen zu generie- ren und automatisierte Entscheidungen zu treffen. Die Integration von IoT-Geräten und -Daten in Cloud-Anwendungen ist ebenfalls ein großer Fortschritt, der es Unternehmen ermöglicht, IoT-Techno- logien effizient zu nutzen und wertvolle Erkenntnisse aus den gene- rierten Daten zu gewinnen. Insgesamt haben sich Cloud-Anwendungen in den letzten Jahren zu einem unverzichtbaren Werkzeug für Unternehmen entwickelt. IT-SICHERHEIT_4/2023 31 metamorworks - stock.adobe.com

CYBERSICHERHEIT | ERSTE HILFE Im Notfall muss schnell gehandelt werden. Jede Minute zählt, um den Schaden so ge­ ring wie möglich zu halten. Das gilt für ei­ nen IT­Sicherheitsvorfall ebenso, wie für einen Autounfall. Aus diesem Grund hat das BSI das Konzept der „Digitalen Ersthelfer“ entwickelt. Dabei handelt es sich um geschulte IT­Fachex­ perten, die wissen, was zu tun ist, um die Aus­ wirkungen eines Cyber­Angriffs oder eines Da­ tenlecks wirksam einzudämmen und bleibende Schäden möglichst zu vermeiden. Die „Digitalen Ersthelfer“ sind ein Baustein des Cyber­Sicherheitsnetzwerks (CSN) des BSI. Dieses Netzwerk ist ein freiwilliger Zusammenschluss von erfahrenen Spezialisten für IT­Sicherheit, die ihr Know­how über diese Plattform zur Verfügung stellen. Zur Aufnahme ins Netzwerk durchlaufen die Ersthelfer eine Schulung des BSI. Die­Qualifizierung­zum­„Digitalen­Ersthelfer”­be­ inhaltet folgende Themenschwerpunkte: ƒ IT­Störungen erkennen, bewerten und wenn möglich beheben ƒ Cyberangriffe erkennen und bewerten ƒ Schadsoftware erkennen und wenn möglich entfernen ƒ Empfehlungen zur sicheren Passwortgestaltung ƒ Empfehlungen für Schutzmaßnahmen gegen Phishing­Angriffe Die „Digitalen Ersthelfer“ haben die Aufgabe, betroffenen­Unternehmen­eine­qualifizierte­Ein­ schätzung ihres IT­Problems zu geben und bei kleineren IT­Störungen und IT­Sicherheitsvor­ fällen durch gezielte Handlungsempfehlungen „Erste­Hilfe“ zu leisten. Sie unterstützen Un­ ternehmen dabei, Schadsoftware zu beseitigen sowie Systeme und Anwendungen wiederher­ zustellen. Die „Digitale Rettungskette“ des BSI (Quelle: Bundesamt für Sicherheit in der Informationstechnik) IT-SICHERHEIT_4/2023 33 GEFÄHRDUNG DURCH CYBERKRIMINALITÄT NIMMT ZULaut Lagebericht des BSI zur IT­Sicherheit in Deutschland ist die Bedrohung im Cyber­Raum so groß wie nie zuvor. Die Zahl neuer Schad­programm­Varianten steigt täglich um knapp 319.000. Als größte Bedrohung für Unterneh­men nennt der Bericht Ransomware. Cyberkri­minelle nutzen diese Art von Schadsoftware, um Unternehmen den Zugriff auf lokale oder vernetzte Daten und Systeme zu verwehren und Lösegeld zu erpressen. Nach wie vor gefährden auch Phishing­Mails sowie Distributed Denial of Service (DDoS)­Angriffe große Konzerne sowie kleine und mittlere Unternehmen (KMU). Da Hacker meist nicht zielgerichtet vorgehen, sondern ihre Aktivitäten breit streuen, geraten auch­KMU­immer­häufiger­ins­Visier­der­Angrei­fer. Die betroffenen Unternehmen verfügen in der Regel nicht über eine eigene IT­Abteilung, die sich um entstandene Schäden, Datendieb­stahl oder Viren im System kümmern könn­te. Gerade in solchen Fällen sind die „Digitalen Ersthelfer“ eine sinnvolle erste Anlaufstelle für betroffene Unternehmen.DAS KONZEPT DER DIGITA-LEN RETTUNGSKETTEDie „Digitalen Ersthelfer“ sind ein Teil der soge­nannten „Digitalen Rettungskette“, die das BSI geschädigten Unternehmen auf der Plattform des CSN anbietet. Die Rettungskette besteht aus mehreren Eskalationsstufen, die aufeinander aufbauen. Hilfe zur Selbsthilfe: Geschädigte­finden­auf­der­Website des CSN Informationen, Leitfäden und weiterführende Links, die sie bestenfalls direkt Cyber-Invasion, Datenlecks und Phishing-Attacken – wenn die IT-Infrastruktur angegriffen wird, muss schnell und gezielt reagiert werden. Was viele nicht wissen: Betroffene Unternehmen können einfach und direkt Hilfe erhalten. Im Cyber-Sicherheitsnetzwerk des Bundesamts für Sicherheit in der Informationstechnik (BSI) stehen „Digitale Ersthelfer“ bereit, um betroffene Unternehmen bei der Bewältigung von IT-Sicherheitsvorfällen zu unterstützen.

Bitkom Akademie Wir qualifizieren die Digitalwirtschaft. Über 150 Seminare kostenfrei Ihr Weiterbildungsanbieter für die digitale Transformation Jährlich über 300 Seminare mit den Schwerpunkten IT-Sicherheit, Datenschutz, Recht & Regulierung, Big Data & KI, Nachhaltigkeit sowie digitale Transformation Alle Formate auch als Inhouse-Schulung buchbar www.bitkom-akademie.de

SECURITY MANAGEMENT | SICHERE AUTOMATISIERUNG In der Welt der Automatisierungstechnik verschmelzen mehrere Disziplinen, darunter Maschinenbau und IT-Sicherheit. Die Herausforderung besteht darin, dass Experten mit unterschiedlichen Hintergründen und Fachsprachen zusammenarbeiten müssen. Hier eine solide Brücke zu bauen, ist Ziel der IEC 62443-Norm. Der Standard bietet eine gemeinsame Basis für sichere Automatisierungssysteme. Er schafft einheitliche Begriffe und Konzepte, die Anwender, Kunden und Produkthersteller zusammen- bringen, um gemeinsam Sicherheitsprobleme zu lösen. Die IEC 62443 ist ein umfassen­ der Sicherheitsstandard, der ur­ sprünglich für die Absicherung von Industrial Automation and Control Systems (IACS) entwickelt wurde. Heutzutage wird er jedoch in einem breiteren Kontext angewen­ det und bietet eine ganzheitliche Betrachtung der Sicherheit von Automatisierungstechnik, auch bekannt als Operational Technology (OT) Security. Warum benötigen wir überhaupt einen speziel­ len Sicherheitsstandard für Automatisierungs­ technik? In der herkömmlichen Informations­ technologie (IT) sind die primären Ziele: ƒ die Vertraulichkeit (kein unbefugter Zugriff auf Informationen), ƒ die Integrität (keine unbemerkte Veränderung von Informationen) und ƒ die Verfügbarkeit (keine Beeinträchtigung des Zugriffs auf Informationen). Im OT­Bereich sind diese Schutzziele ebenfalls relevant, jedoch in umgekehrter Reihenfolge der Relevanz: Die Verfügbarkeit steht an erster Stelle, gefolgt von der Integrität. Denn eine nicht funktionierende oder fehlerhafte Anlage kann erhebliche Verluste verursachen. Die Vertrau­ lichkeit steht an dritter Stelle. Ein Angriff auf eines dieser Schutzziele kann dazu führen, dass essentielle Funktionen der Automatisierungslö­ sung, einschließlich Sicherheits­ und Steue­ rungsfunktionen, nicht mehr gewährleistet sind. In besonders kritischen Fällen kann dies sogar Menschenleben gefährden. Im Gegensatz zu einem Cyber­Angriff in der reinen IT, bei dem das Hauptziel in der Regel Daten sind, kann ein cy­ berphysischer Angriff eine Anlage auch physisch zerstören. Eine weitere Herausforderung im industriellen Umfeld ist die deutlich längere Le­ bensdauer von Anlagen und deren Komponen­ ten im Vergleich zur IT. Es ist keine Seltenheit, dass Komponenten in Anlagen 30 Jahre und älter sind. Zum Vergleich: Firmennotebooks und die darauf installierte Software werden oft schon nach drei Jahren ausrangiert. Der Standard ISA/IEC 62443 „Security for Indus­ trial Automation and Control Systems“ wird in Zusammenarbeit der Institutionen ISA (Internati­ onal Society for Automation) und IEC (Internatio­ nal Electrotechnical Commission) entwickelt und veröffentlicht. Die IEC 62443 besteht aus mehre­ ren Teilen, die in Abschnitte unterteilt sind. Zum Beispiel gibt es den Teil 4­1 (oder 62443­4­1), der zum Abschnitt 4 gehört. Bild 1 verdeutlicht die Zusammenhänge zwischen den verschiedenen Teilen der IEC 62443. Die Norm IEC 62443 besteht aus verschiedenen Abschnitten, die für unterschiedliche Akteure re­ levant sind. In Abschnitt 1 werden allgemeine In­ formationen bereitgestellt. Betreiber von Auto­ matisierungslösungen­finden­hauptsächlich­in­ Abschnitt 2 relevante Informationen für sich. Ab­ schnitt 3 richtet sich an Integratoren, die Kom­ ponenten in bestehende Anlagen einbauen oder neue Anlagen zusammenstellen. Abschnitt 4 ist für Komponentenhersteller von Anlagen von Be­ deutung. Hersteller, Integratoren oder Betreiber können ihre Komponenten oder Anlagen gemäß bestimmten­Teilen­der­Norm­zertifizieren­lassen.­ Aktuell wird eine einheitliche Bewertungsme­ thodik­für­die­Zertifizierung­in­Abschnitt 6­erar­ beitet.­Abschnitt­5­ist­für­die­sogenannten­Profile­ Bild 1: Zusammenhänge der IEC-62443-Teile. (Quelle: secuvera) IT-SICHERHEIT_4/2023 37 . m o c . e b o d a k c o t s - e n a r k U o t y r o G l i : d l i B

SECURITY MANAGEMENT | SICHERE AUTOMATISIERUNG Bild 3: Mapping von CRs und REs zu FR SL Levels 1-4 (Quelle: IEC 62443-4-2, Table B.1) durch ein oder mehrere RE erweitert wird. Der Bezug zu den Security Levels (SL) zeigt, wie die Anforderungen durch zusätzliche RE erhöht werden (Bild 3). Der Security Level drückt aus, welches Sicherheitsniveau für eine bestimmte Anforderung gefordert wird. In der praktischen Anwendung hat sich gezeigt, dass es unterschiedliche Interpretationen der CR­und­RE­gibt.­Wenn­Produkte­häufiger­nach­ den­Normanforderungen­zertifiziert­werden,­ wird es wichtiger, dass die Anforderungen veri­ fizierbar­sind.­Es­wurde­festgestellt,­dass­dies­ in der Praxis oft nicht der Fall ist. Das Ziel des neuen Teils IEC 62443­6­2 besteht darin, diese Lücke zu schließen und ein Vorgehensmodell sowie Bewertungskriterien für Komponenten bereitzustellen. TELETRUST USE CASES ALS WICHTIGE NORMER- GÄNZUNG In der Anwendung des Standards IEC 62443 be­ steht das Problem, dass Komponenten für einen offenen Markt entwickelt und vertrieben wer­ den, während Anlagenbauer konkrete Lösun­ gen für verschiedene Szenarien benötigen und dafür Komponenten einsetzen. Sowohl aus Sicht des Herstellers als auch des Anlagenbauers sind Sicherheitsaspekte relevant, da der Hersteller Sicherheitsfähigkeiten liefert, die der Anlagen­ bauer benötigt. Die grobe Struktur der IEC 62443 ermöglicht jedoch keine detaillierte Abbildung dieser Realität. Mit der Norm lassen sich Sicher­ heitsfähigkeiten nur durch CRs, REs und/oder Security Levels beschreiben. Der Bundesverband IT­Sicherheit e.V. (TeleTrusT) hat einen Lösungsansatz entwickelt. In der Ar­ beitsgruppe „Smart Grids/Industrial Security“ wurden sogenannte IEC 62443­4­2 Use Cases erstellt. Diese Use Cases sind einheitlich struktu­ riert und beginnen mit der Beschreibung eines typischen Einsatzszenarios für einen Komponen­ ten­ oder Produkttyp. Die Use Cases ermögli­ chen­die­Definition­eigener­Stufen­von­CRs­und­ REs, die sich an den Security Levels orientieren sollen.­Dabei­werden­spezifisch­relevante­Sicher­ heitsanforderungen (CRs und REs) ausgewählt. Darüber hinaus enthalten die Use Cases weitere praxisrelevante Informationen zu den Kompo­ nententypen. Bisher hat TeleTrusT drei Use Cases veröffentlicht. Sie sind unter folgendem Link ab­ rufbar: https://www.teletrust.de/publikationen/ teletrust­iec­62443­4­2/ Bild 4: Typisches OT-Netzwerk (Quelle: TeleTrusT, IEC 62443-4-2 Use Case Industrial Firewall) Ein Beispiel für einen Use Case ist die Industrial Firewall. Wie in Bild 4 gezeigt, dient eine Indus­ trial Firewall entweder dazu, die Kommunika­ tion zwischen Zellen zu ermöglichen und abzu­ sichern oder die Kommunikation zwischen einer Zelle und einer Workstation zu realisieren. Aus dem Use Case geht implizit hervor, dass keine IT­ Netz­Firewall beschrieben wird. Die Use Cases haben das Ziel, die Kommunikati­ on zwischen Maschinenbauern, Anlagenbetrei­ bern, Herstellern von Automatisierungstechnik und Einkäufern zu fördern. Sie dienen als Refe­ renz für die Beschaffung und Bewertung von Komponenten. Die Struktur der Use Cases kann auch genutzt werden, um Komponententypen und den Sicherheitsbedarf abzugrenzen. Tele­ TrusT hat dafür auch ein leeres Use Case Tem­ plate veröffentlicht. Die TeleTrusT IEC 62443­4­2 Use Cases weisen bereits eine starke Überlappung mit dem in Ar­ beit­befindlichen­Profilschema­der­IEC­62443-Se­ rie auf, das voraussichtlich als Teil IEC 62443­1­5 veröffentlicht­wird.­Das­Profilschema­enthält­ Regeln­zur­Beschreibung­von­Profilen­und­wird­ etwas weniger Flexibilität bieten als die Use Ca­ ses. Dennoch ist geplant, dass die bestehenden Use­Cases­nach­Verfügbarkeit­des­Profilschemas­ angepasst und erneut im Einklang mit diesem veröffentlicht werden. n LUISE WERNER, ist SDL Expertin und Industrial Security Spezialistin für IEC 62443 bei der secuvera GmbH. SEBASTIAN FRITSCH, ist Leiter der Prüfstelle für IT-Sicher- heit bei der secuvera GmbH und IEC-Projektleiter für die neue IEC 62443-6-2. IT-SICHERHEIT_4/2023 39

ten, führen die IT­Dienstleister kurze, leicht ver­ ständliche Beratungssitzungen durch, die sogar digital abgehalten werden können. Die Evaluierung der Unternehmen basiert auf den gesammelten Daten und liefert wertvol­ le Handlungsempfehlungen zur Verbesserung der IT­Infrastruktur­Sicherheit. Ein besonderes Merkmal der DIN SPEC 27076 ist ihr bedarfsge­ rechter und praxistauglicher Ansatz im Vergleich zu bisherigen, meist sehr umfangreichen, zeit­ aufwendigen und kostspieligen Standards. Dieser Beratungsstandard wurde geschaffen, um kleinen und Kleinstunternehmen sowie IT­Dienstleistungsunternehmen eine klare Ori­ entierung, Vergleichbarkeit und Transparenz im Bereich der IT­ und Informationssicherheit zu bieten. VORTEILE DES CYBER- RISIKO-CHECKS Eine Beratung nach DIN SPEC 27076 bietet klei­ nen Betriebe zahlreiche Vorteile: Schneller Überblick: Der auf diesem Standard basierende CyberRisiko­Check ermöglicht es kleinen Unternehmen, innerhalb kürzester Zeit einen umfassenden Überblick über ihre aktuelle Cybersicherheitssituation zu erhalten. Strukturierte Anforderungen: Die 27 Anforde­ rungen sind in reguläre und besonders wichtige Top­Anforderungen unterteilt. Dadurch erhalten Unternehmen klare Hinweise darauf, welche Handlungsempfehlungen zuerst umgesetzt werden sollten. Verständliche Empfehlungen: Die Handlungs­ empfehlungen sind leicht verständlich formu­ liert und beinhalten konkrete Maßnahmen, um mit aktuellen Schwachstellen angemessen umzugehen. Ergebnisbericht: Die ermittelten Ergebnis­ se werden in einem übersichtlichen Bericht zusammengefasst. Dieser enthält den eigenen Risiko­Statuswert samt Visualisierung der Schwachpunkte, die priorisierten Handlungs­ empfehlungen, die sofort umgesetzt werden sollten, sowie weitere empfohlene Maß­ nahmen und eine Übersicht über relevante Förderprogramme, die das Unternehmen bei weiteren IT­Sicherheitsmaßnahmen unterstüt­ zen können. SECURITY MANAGEMENT | CYBERRISIKO-CHECK MARC DÖNGES, Projektleiter Bereich Förderprojekte bei Der Mittelstand. BVMW e.V. IT-SICHERHEIT_4/2023 41 Grundlage für weitere Schritte: Der Bericht dient als solide Grundlage für mögliche Beauf­tragungen zur Umsetzung der Maßnahmen oder für eine anschließende Folgeberatung durch ein IT­Dienstleistungsunternehmen.Der CyberRisiko­Check wurde im Rahmen eines DIN SPEC­Konsortiums entwickelt, welches vom Bundesamt für Sicherheit in der Informations­technik (BSI) und „Der Mittelstand. BVMW e.V.“ geleitet wurde. Das Konsortium setzte sich aus verschiedenen IT­Sicherheitsdienstleistern und Förderinitiativen zusammen, um sicherzustel­len, dass der Standard praxisnah und relevant ist. Die Arbeit an der DIN SPEC 27076 begann im Juli 2022, und der Standard wurde im April 2023 veröffentlicht.ABLAUF EINER BERATUNG NACH DIN SPEC 27076Kleine und Kleinstunternehmen durchlaufen bei einer Cybersicherheitsberatung nach DIN SPEC 27076 vier einfache Schritte:Schritt 1: Das Gespräch zur ErstinformationZu Beginn informiert das IT­Dienstleistungsun­ternehmen das zu beratende Unternehmen über den Ablauf der Beratung. Dies kann entweder über ein Onlinemeeting, ein Telefongespräch oder persönlich vor Ort erfolgen. In diesem Ge­spräch werden bereits erste Unternehmensda­ten erfasst, die später in die Berichterstattung einfließen.Schritt 2: Die Aufnahme des IST-ZustandesIm zweiten Schritt führt das IT­Dienstleistungs­unternehmen den CyberRisiko­Check nach DIN SPEC 27076 durch. Die Durchführung kann entweder persönlich vor Ort, als Onlinemeeting oder in einem hybriden Format erfolgen. Die Ge­schäftsführung und für Informationssicherheit zuständige Personen nehmen an dem Gespräch teil. Der IT­Dienstleister erfragt die 27 Anforde­rungen des CyberRisiko­Checks und dokumen­tiert transparent in einem Punktesystem, ob diese erfüllt wurden oder nicht.Schritt 3: Die Auswertung und Erstellung des ErgebnisberichtsDer IT­Dienstleister wertet die erhobenen Daten aus und erstellt einen individuellen Bericht ge­mäß den Vorgaben der DIN SPEC 27076. Dieser Bericht enthält eine kompakte Darstellung der Ergebnisse inklusive Visualisierung in Form eines Spinnennetzdiagramms und wichtige Hand­lungsempfehlungen.Schritt 4: Die Präsentation der ErgebnisseIm letzten Schritt präsentiert der IT­Dienstleister dem Unternehmen die Ergebnisse des Checks, erläutert den Bericht und beantwortet Fragen. Dabei geht er auf die erfüllten und nicht­erfüll­ten Anforderungen ein und zeigt die priorisier­ten sowie alle weiteren Handlungsempfehlun­gen­auf.­Im­Anhang­des­Berichts­befinden­sich­die detaillierten Ergebnisse inklusive aller Hand­lungsempfehlungen sowie Informationen zu Fördermöglichkeiten für die weitere Umsetzung von IT­ und Informationssicherheitsmaßnah­men. Der Bericht bietet eine solide Grundlage für die Umsetzung der vorgeschlagenen Maßnah­men zur Verbesserung der Cybersicherheit.WEITERE INFORMATIONEN UND UNTERSTÜTZUNGWeitere Informationen, geplante Informati­onsveranstaltungen, Infomaterialien sowie ein Dienstleisterverzeichnis­finden­Interessierte­un­ter www.mit-standard-sicher.de. Das Dienst­leisterverzeichnis ermöglicht es kleinen Unter­nehmen,­Anbieter­der­DIN­SPEC­27076­zu­finden.Für IT­Dienstleister, die den CyberRisiko­Check nutzen möchten, ist eine mindestens einjährige Erfahrung in der Durchführung von IT­Sicher­heitsaudits sowie drei Referenzprojekte mit kleinen oder Kleinstunternehmen empfehlens­wert.­Eine­spezielle­Zertifizierung­zum­Einsatz­des Standards ist nicht erforderlich. Die DIN SPEC 27076 kann kostenfrei über die Webseite des Beuth­Verlags heruntergeladen werden, der Link dazu ist auf https://mit-standard-sicher.de/informationsmaterialien­zu­finden. n

Ob der Ausfall eines Rechen­ zentrums, die Zerstörung ei­ ner Produktionsstätte infolge eines Naturereignisses oder eine Cyber­Attacke auf die gesamte IT­Infrastruktur – Institutionen sind einer stetig wachsenden Bedrohungslage ausgesetzt, die zu einer existenzbedrohenden Unterbrechung des Geschäftsbetriebes führen kann. Der BSI­Standard 200­4 „Business Conti­ nuity Management“ (BCM) hilft, sich bestmög­ lich auf Schadensereignisse vorzubereiten und trägt somit zu ganzheitlicher organisatorischer Resilienz bei (Abb. 1). ZIELE DER MODERNISIERUNG Schon zu Beginn der Modernisierungsphase hat sich herauskristallisiert, dass der neue BSI­Stan­ dard 200­4 einen anleitenden, erklärenden Cha­ rakter erhalten soll. Dieser Ansatz ergibt sich im Wesentlichen aus den folgenden zwei Gründen: ƒ Verbreitungsgrad von BCM: BCM als Thema und als Managementsystem ist nach wie vor noch nicht so weit verbreitet wie Manage­ mentsysteme für Informationssicherheit (ISMS). Viele Institutionen stehen noch davor, sich selbst systematisch mit dem Thema Business­Continuity zu beschäftigen und ein eigenes Business­Continuity­Management­ System (BCMS) aufzubauen. ƒ Ausgangssituation am Standardmarkt: Grund­ GP-Umfang Vollständig Eingeschränkt sätzlich gibt die international anerkannte ISO­Norm 22301:2019 ideale Anforderungen für ein solches BCMS – jedoch sind die Um­ setzung sowie besonders der Aufbau und die Etablierung eines solchen BCMS anhand dieser Norm und weiteren dazu gehörenden Normen für Einsteiger:innen nicht selbsterklä­ rend. Daneben besteht mit den Good­Practi­ ce­Guidelines (GPG) des Business Continuity Institute (BCI, www.thebci.org) ein praxisna­ hes Standardwerk, das auch in Teilen Hilfe zur Umsetzung und entsprechende Anleitungen gibt. Jedoch genügt auch das nicht immer, um ein BCMS ohne weitere Hilfe umzusetzen. Zu­ sätzlich­finden­sich­in­diesen­beiden­Normen­ beziehungsweise Standards auch keine direk­ ten Bezüge zu den Standardwerken des BSI. . m o c . e b o d a k c o t s - t u w a h t u N : d l i B SECURITY MANAGEMENT | BCM Cyber-Angriff-/Sicherheitsvorfallbehandlung Notfall-/Krisenbewältigung Krisen Management … … … … … Informations- sicherheits- Management Business Continuity Management Sicherheits- und Vorsorgemaßnahmen (u. a. ITSCM) Abbildung 1: BCM als integraler Bestandteil der organisatorischen Resilienz … … RAUM FÜR EINEN MODERNISIERTEN BSI-STANDARD 200-4 Diese Ausgangslage bot somit Platz für einen modernisierten BSI­Standard 200­4, der eine praxisnahe Umsetzungsanleitung für die ISO­ Norm ISO 22301:2019 bietet und gleichzeitig weitere Hürden zum Einstieg herabsetzt. So er­ möglicht der BSI­Standard 200­4 einen schritt­ weisen Einstieg über ein Stufenmodell und zeigt die möglichen Synergien mit weiteren Manage­ mentsystemen auf. Das Stufenmodell (siehe Abb. 2) ermöglicht erst einen schnellen, rudimentären Einstieg zur Exis­ Standard-BCMS A P C D c a b Reaktiv-BCMS Aufbau-BCMS A P 1x C D A P C D Vereinfacht Vollständig Methodik Abbildung 2: BCM-Stufenmodell IT-SICHERHEIT_4/2023 43

Wesentliche Unterschiede zwischen analogen Krisen und IT-Krisen Analoge Krisen sind in der Regel im Gegensatz zu IT- Krisen örtlich begrenzt. Ransomware oder gezielte Cyber-Attacken treten in der IT wesentlich häufiger auf, als analoge Angriffe bzw. analoge Erpressungen. Lokale Eingrenzung Ausbreitungs- geschwindigkeit Krisenpotential Detektion IT-Krisen breiten sich üblicherweise erheblich schneller aus und folgen dabei keinen natürlichen Regeln IT-Krisen können im Gegensatz zu analogen Krisen in der ersten Phase längere Zeit unbemerkt bleiben. Abbildung 4: Unterschiede zwischen „analogen“ Krisen und IT-Krisen ausgewählten Themen: So werden zum Beispiel weitergehende Informationen zum Tool­Einsatz oder zur Bewältigung von Schadensereignis­ sen gegeben. Das Hilfsmittel „Weiterführende Aspekte zur Bewältigung“ greift die verschie­ densten Aspekte zur Bewältigung von Notfällen und Krisen auf, die im Standard nicht normativ vorgegeben werden. Ein wesentlicher Aspekt sind die Besonderheiten von IT­Krisen gegen­ über „analogen“ Krisen (siehe Abb. 4). Da sich sogenannte Cyberlagen (IT­Angriffe) in der Regel in den vier aufgezeigten Dimensionen stärker auswirken beziehungsweise schneller ausbreiten, eskalieren solche Cyberlagen schnel­ ler zu IT­Krisen, als im Vergleich analoge Vorfälle zu herkömmlichen, „analogen“ Krisen eskalieren (siehe Abb. 4). bereitgestellten, übersichtlichen Anforderungs­ katalogs lässt sich die eigene Kompatibilität mit dem BSI­Standard 200­4 schnell nachvollzie­ hen. Dieser Anforderungskatalog basiert auf der letzten Aufbaustufe, dem Standard­BCMS, die ein vollumfängliches, ISO­kompatibles BCMS darstellt. Die Kompatibilität zu der relevanten ISO­Norm ISO 22301:2019 lässt sich durch das ISO­Mapping nachvollziehen, in dem jedem ISO­ Control mindestens eine entsprechende Anfor­ derung aus dem BSI­Standard 200­4 zugeordnet ist. Durch den Anleitungscharakter kann der BSI­ Standard 200­4 auch zur Umsetzung dieser ISO­ Norm genutzt werden – das Mapping ermög­ licht eine Transition zwischen beiden Normen. AUSBLICK AUF KOMMENDE NEUERUNGEN AUCH FÜR POWERUSER Im Fokus stehen neben Einsteiger:inne:n auch erfahrene BCM­Anwender:innen. Mithilfe des Während­der­BSI-Standard­200-4­nun­final­ist­ und damit über einen längeren Zeitraum auch stabil in der aktuellen Form bestehen bleibt, bieten die umfangreichen Hilfsmittel Raum für m o c . e b o d a k c o t s - . m u a n : d l i B SECURITY MANAGEMENT | BCM Anpassungen und neue Veröffentlichungen. So möchte das BSI die Hilfsmittel weiter ausbauen und perspektivisch weitere beispielhafte Do­ kumentvorlagen wie Übungshandbücher oder ­drehbücher anbieten. Ferner ist es auch denkbar, dass das aktuelle Recplast­Beispiel aus dem ISMS­Bereich hin­ sichtlich eines Recplast­BCMS erweitert wird: So würde Anwendenden neben den einzelnen Beispielen im BSI­Standard 200­4 und den ein­ zelnen Beispielen in den Dokumentvorlagen ein übergreifendes Beispiel für ein BCMS mit der ty­ pischen damit verbundenen, zusammenhängen­ den Dokumentation zur Verfügung stehen. BSI-STANDARD 200-4 ALS LEBENDES STANDARDWERK Anwender:innen steht mit dem BSI­Standard 200­4 ein fortschrittlicher Standard zur Verfü­ gung, den umfangreiche Hilfsmittel abrunden. Selbstverständlich setzt das BSI auch weiterhin auf den Austausch mit der Community – weitere Anregungen oder auch Kritik sind per E­Mail an it­grundschutz@bsi.bund.de willkommen. n CÄCILIA JUNG ist Referentin im Referat WG 13 – KRITIS-Sektoren Ernährung, Trans- port und Verkehr im Bundesamt für Sicherheit in der Informations- technik DANIEL GILLES ist Referent im Referat SZ 13 – IT-Grundschutz & BSI-Standards im Bundesamt für Sicherheit in der Informationstechnik IT-SICHERHEIT_4/2023 45

Die Rolle der Chief Information Security­Officers­(CISOs)­in­Un­ ternehmen und Verwaltungen ist noch vergleichsweise jung. Seit den frühen Nullerjahren verzeichnet der Google Books Ngram Viewer einen drastischen Anstieg der Verwendung des Begriffs „CISO“. Während die englische und deutsche Wikipedia den Begriff seit 2006/2007 kennen, haben sich die Aufga­ ben der CISOs von einer rein technischen Tä­ tigkeit in der IT­Sicherheit zu einer gehobenen Managementrolle weiterentwickelt. Die ISO/IEC 27001 legt explizit oder implizit rund 25 verschiedene Richtlinien oder Policies zur Informationssicherheit fest. Zusätzlich gibt es unzählige Vorgaben für Prozesse, Systemkon­ figurationen­und­Gerätespezifikationen­–­von­ Brandschutz über Personalabteilung bis hin zu Einkaufsprozessen. Dies verlangt von CISOs, dass sie in zahlreichen Bereichen mitreden und agieren, was jedoch nicht immer auf positive Resonanz stößt. Für­CISOs­sind­Konflikte­unausweichlich.­Sie­ entstehen durch menschliche Interaktionen, bei denen mindestens eine beteiligte Person eine Beeinträchtigung­ihrer­Interessen­empfindet,­ vermutet oder tatsächlich erfährt und gleich­ zeitig versucht, diese Beeinträchtigung zu be­ seitigen. Angesichts der Vielzahl an Verantwort­ lichkeiten und Schnittstellen sind CISOs oft in Situationen­involviert,­die­potenzielle­Konflikte­ hervorrufen können. Um diese Herausforderungen zu meistern, kön­ nen CISOs zwei grundlegende Erkenntnisse zur eigenen Rolle nutzen: 1. VERGESSEN SIE DAS C IN CISO Die Bezeichnung „CISO“ als Chief Information Security­Officer­birgt­potenziell­Konfliktpotenzi­ al. Das „C“ in CISO ist nicht dasselbe wie in CFO (Chief­Finance­Officer)­oder­gar­in­CEO­(Chief­ Executive­Officer).­Während­das­„C“­in­den­letz­ ten beiden Fällen eine Position ganz oben in der Hierarchie einer Organisation ausweist, verfügen CISOs oft nicht über die gleiche Machtfülle. In der Realität vieler CISOs ist das „C“ in ihrem Job­ titel vergleichsweise schwach, sodass es schrift­ lichen Weisungen oft weniger Durchschlagskraft verleiht, wenn CISOs diese zur Unterschrift beim . m o c . e b o d a k c o t s - t u w a h t u N : d l i B SECURITY MANAGEMENT | KOMMUNIKATION IT-SICHERHEIT_4/2023 47 Top Management vorlegen. Es ist wichtig zu erkennen,­dass­Diplomatie­und­Konsensfindung­die wesentlichen Management­Werkzeuge im CISO­Alltag sind – weit vor Anweisungen und Konfrontationen.Eine einfache Überlegung zeigt dies auf: Stellen Sie sich vor, Sie verstoßen künftig gegen eine beliebige Regel der Information Security Policy oder parken ab morgen entgegen der Parkord­nung auf fremden Parkplätzen. Welche Hand­lung wird eher negative Reaktionen hervorru­fen? Oder was passiert, wenn Sie neben den Parkplatzschildern für CEO, CFO und das restliche C­Level­Management ein Schild aufstellen las­sen, auf dem „CISO“ steht? Die Macht von CISOs ist begrenzt, und man spart viel Kraft und Ärger, wenn man erkennt, dass Diplomatie und Kon­sensfindung­die­wesentlichen­Management-Werkzeuge im CISO­Alltag sind – weit vor An­weisungen und Konfrontationen.2. ES GIBT NICHTS GUTES, AUSSER MAN TUT ESCISOs sollten proaktiv handeln und nicht auf andere warten. Oft trifft man in der Praxis auf Vorgänge, die auf Zuarbeit warten oder irgend­wo im Prozessverlauf „stecken geblieben“ sind. In solchen Situationen ist es wenig hilfreich, einfach abzuwarten. Im Zweifel muss man drin­genden Mails hinterhertelefonieren, um sicher­zustellen, dass die Dinge erledigt werden. Das kann zwar auf Widerstand stoßen, aber es zeigt auch, dass man bereit ist, die Initiative zu ergrei­fen und die Dinge voranzutreiben.Häufig­führt­es­zu­Konflikten,­wenn­man­sich­fragt, was alle anderen tun müssten. Eine viel­versprechendere Frage ist, was man selbst (an­ders) machen kann, damit es im Prozessverlauf weitergeht. Diese Herangehensweise entspricht der besten psychologischen Tradition in der Kon­fliktbewältigung.­Das­Verhalten­anderer­Men­schen zu ändern, ist nicht nur für CISOs, sondern generell eine große Herausforderung. Manchmal ist es sogar unmöglich. Viele Situationen lie­gen­nicht­zuletzt­aufgrund­eines­Machtdefizits­außerhalb­unseres­Einflussbereichs.­Allerdings­haben CISOs – wie alle anderen Menschen – die volle Kontrolle darüber, wie sie selbst auf diese Situationen reagieren. Denn: Es gibt nichts Gu­tes, außer man tut es – selbst.3. IT-SICHERHEIT IST EIN DAUERLAUF, KEIN SPRINTDie Fülle an Anforderungen der ISO/IEC 27001 ist erheblich. Zieht man die ISO/IEC 27002 zusätzlich zu Rate oder geht gar nach BSI IT­Grundschutz vor, scheint der Berg an Aufgaben unermesslich. In der Planung entstehen dann schier endlose Tabellen oder die Anzahl der unbearbeiteten Ti­ckets im Security­Change­Management schnellt rapide in die Höhe. Wer an den endlosen Listen mit Anforderungen, Zuständigkeiten und Zusam­menhängen nicht scheitern will, muss sich vor allem auf den nächsten Schritt fokussieren. Wie bei einem Marathon ist es wenig hilfreich, sich am Start vom Loslaufen abhalten zu lassen, weil man nicht weiß, wie man die schweren letzten Kilometer überstehen soll. Die eigentliche Kunst besteht darin, unbeirrt immer einen Fuß vor den anderen zu setzen und sich Schritt für Schritt der Ziellinie zu nähern. Lieber mit wenig Tempo vo­rankommen, als schnell auf der Stelle zu treten. Dazu gehört auch, dass man jede Maßnahme und jede Tätigkeit nicht danach beurteilt, wie schnell man sich auf das Ziel zubewegt, sondern ob. Es hilft beim ersten Schritt nicht, Meetings darüber abzuhalten, dass der 30.302te Schritt sehr schmerzhaft sein wird. Das ist ein Zukunfts­problem. Am Anfang ist jeder Schritt in die rich­tige Richtung gut, und insofern gilt auch hier: Es gibt nichts Gutes, außer man tut es.Diese Analogie zum Laufen bedeutet auch, dass man lieber mit kleineren Schritten fortfahren sollte, als in der Planung großer Sprünge zu scheitern und nicht voranzukommen. Oft schei­tern Policies oder Sicherheitsmaßnahmen, weil sie einen zu großen Sprung für alle Beteiligten bedeuten. Lieber man kommt praktisch voran als theoretisch schnell zu sein.4. SECURITY-GRUND-LINIENTENNISNachdem man als CISO Laufen gelernt hat, kann man sich einer neuen Sportart widmen und der Frage zuwenden, wie wir Bälle, die uns täglich zugespielt werden, gekonnt im Spiel halten. Nachdem wir als CISO also unsere Position ge­funden haben und geklärt ist, was wir selbst Schritt für Schritt tun können, um voranzukom­men, geht es beim Security­Tennis darum, sich nicht im Tagesgeschäft zu verzetteln. Es geht

. m o c . e b o d a k c o t s - f f o k n e d o r o G © Verantwortliche für IT-Sicherheit direkt erreichen ▪ Newsletter ▪ Content- Marketing ▪ Webinare & Webkonferenzen Schreiben Sie uns: wolfgang.scharf@datakontext.com www.itsicherheit-online.com | www.kes.info

SECURITY MANAGEMENT | VERSICHERUNGEN schwer, die potenziellen Auswirkungen und Kosten eines Cyber­Vorfalls angemessen einzu­ schätzen. Zudem sorgen Bedenken hinsichtlich des versicherten Umfangs und der Ausschlüsse in den Cyber­Versicherungspolicen für Skepsis und Unsicherheit. Unternehmen befürchten, dass bestimmte Arten von Cyber­Risiken oder spezifische­Schadensszenarien­nicht­abgedeckt­ sind, was ihre Fähigkeit beeinträchtigen könn­ te, einen Cyber­Vorfall effektiv zu bewältigen. Selbst für Unternehmen, die bereits eine Cyber­ Versicherung abgeschlossen haben, bleibt oft eine Verständnislücke aufgrund fehlender Stan­ dardisierung, was zu Unklarheiten bezüglich des Versicherungsschutzes führt. Um Licht ins Dunkel der Ausschlüsse in Cyber­ Versicherungen zu bringen, wurde eine um­ fassende Untersuchung durchgeführt. Ein Datensatz mit 41 öffentlich zugänglichen Cyber­ Versicherungsbedingungen wurde erstellt und analysiert. Dabei lag der Fokus auf internatio­ nalen und lokalen Cyber­Versicherern, die im deutschen Markt aktiv sind und speziell Cyber­ Versicherungsprodukte für kleine und mittlere Unternehmen (KMU) anbieten. Die Entschei­ dung, sich auf KMU zu konzentrieren, gründete auf der weit verbreiteten Verfügbarkeit öffent­ licher Cyber­Versicherungsprodukte für diese Zielgruppe und ihrer Relevanz für zahlreiche Unternehmen. Bild 1: Verteilung der Interviewpartner (n = 26) Die Methodik für die Ermittlung und Analy­ se basierte auf dem Modell der qualitativen Inhaltsanalyse nach Mayring. Die relevanten Textpassagen wurden kodiert und sukzessi­ ve verfeinert, um schließlich die Ausschlüsse zu­identifizieren.­Diese­Ausschlüsse­wurden­ anschließend thematischen Kategorien zu­ geordnet. Zusätzlich wurden Interviews mit Cyber­Experten aus der Versicherungsbranche durchgeführt, um die Ergebnisse zu validieren und zu erweitern. Durch diesen Ansatz kann neues Wissen sowohl für die Theorie als auch für die Praxis generiert werden. Insgesamt konnten 26 Repräsentanten aus der Erstversi­ cherung, Rückversicherung und dem Bereich der Versicherungsmakler für die Interviews ge­ wonnen werden (Bild 1). In Bezug auf die Schwerpunkte der Ausschlüsse lauteten die Fragen wie folgt: ƒ Weshalb werden Schäden durch Krieg oder der Ausfall von Infrastruktur in den Cyber­ Versicherungen ausgeschlossen? ƒ Was sind die Probleme bei Kriegsausschlüs­ sen in der Cyber­Versicherung? ƒ Was wäre notwendig, um Schäden durch (Cyber­)Krieg zu versichern? WAS HÄUFIG AUSGE- SCHLOSSEN WIRD Insgesamt wurden 15 Ausschlusskategorien in den Cyber­Versicherungsbedingungen identi­ fiziert­(Bild­2).­Zwei­der­am­häufigsten­auftre­ Bild 2: Übersicht der identifizierten Ausschlüsse IT-SICHERHEIT_4/2023 51

Der Wissensvorsprung im Themengebiet IT-Sicherheit direkt in Ihr Postfach. Abonnieren Sie jetzt den kostenfreien IT-SICHERHEIT Newsletter: itsicherheit-online.com/newsletter IT-SICHERHEIT_4/2023 53

Richtlinie folgende Sektoren als KRITIS­Unter­ nehmen­definiert: ƒ Gesundheit, ƒ Energie­ und Wasserversorgung, ƒ Transport und Verkehr, ƒ Finanzwesen und Versicherungen, ƒ Ernährung sowie ƒ Informationstechnik und Telekommunikation. NIS­2 ist eine überarbeitete Version dieser Richt­ linie, die im Januar 2023 beschlossen wurde. Ziel ist es, das Sicherheitsniveau in Europa zu verein­ heitlichen und zu modernisieren. Eine bedeuten­ de Veränderung durch NIS­2 besteht darin, dass eine breitere Palette von Unternehmen die EU­ Richtlinie einhalten muss. Dazu gehören große Unternehmen sowie mittelständische Unter­ nehmen bestimmter Sektoren, die gesellschafts­ kritische Aufgaben erfüllen. Der Schwellenwert liegt bei mindestens 50 Mitarbeitenden und einem Jahresumsatz von 10 Millionen Euro. Zu den­neu­definierten­KRITIS-Bereichen­gehören­ unter anderem das Bankwesen und Finanzen sowie das Gesundheitswesen. Die konkreten Maßnahmen zum Risikomanagement wurden bisher­noch­nicht­klar­definiert,­aber­bestimmte­ Bereiche wurden festgelegt, wie beispielsweise ƒ Risikoanalyse, ƒ Management von Sicherheitsvorfällen, ƒ Aufrechterhaltung des Betriebs, ƒ Sicherheit der Lieferkette, ƒ Bewertung der Effektivität des Risiko­ managements und ƒ Multi-Faktor-Authentifizierung. WIE NETZWERKSICHER- HEIT DIE UMSETZUNG VON SICHERHEITSANFORDE- RUNGEN UNTERSTÜTZT Um die Sicherheit in modernen Netzwerken trotz einer massiven Bedrohungslage zu ge­ währleisten, sind Maßnahmen und Funktionen für Netzwerksicherheit und Zugangskontrolle von entscheidender Bedeutung. Sie unterstüt­ zen nicht zuletzt die Umsetzung der mit den Risiken wachsenden Anforderungen an das Risi­ komanagement. Eine zentrale Funktion ist etwa die Festlegung von Zugriffsrechten für Personal und Geräte. Nur authentifizierte­Geräte­werden­im­Netzwerk­ zugelassen, was eine sichere Kommunikation ermöglicht. IT­Administratoren erhalten mithilfe einer Netzwerkübersicht einen schnellen Über­ SECURITY MANAGEMENT | ZERO TRUST SABINE KUCH, freie Redakteurin für Unternehmen im Bereich IT & Technologie, unter anderem für die macmon secure GmbH/sm IT-SICHERHEIT_4/2023 55 blick über alle Geräte im Netzwerk, was für die Risikoanalyse von großer Bedeutung ist.Die Durchsetzung von Sicherheitsrichtlinien er­folgt mithilfe von Compliance­Funktionalitäten. Clients und Netzwerkgeräte erhalten nur Berech­tigungen für die notwendigen Netzwerkbereiche. Eine Segmentierung des Unternehmensnetz­werks mit einem VLAN­Manager sorgt für eine Kontroller der Kommunikation zwischen den Segmenten. Bei Bedarf – also zum Beispiel wäh­rend eines Angriffs – kann die Kommunikation vollständig unterbunden werden. So können nicht betroffene Segmente den laufenden Betrieb auch während einer Attacke aufrechterhalten.Die Bedeutung des Schutzes kritischer Infra­struk turen nimmt zu. Jüngste Vorfälle, bei de­nen­offizielle­Internetseiten­von­Behörden­und­Ministerien gehackt wurden, verdeutlichen die Dringlichkeit dieses Themas. Die Anzahl der ge­meldeten Sicherheitsvorfälle von KRITIS­Betrei­bern ist ebenfalls alarmierend: Das Bundesamt für Sicherheit in der Informationstechnik (BSI)meldete im Jahr 2022 (Juni 2021 bis Mai 2022) rund 452 Vorfälle bei KRITIS­Betreibern. Es be­steht die Gefahr, dass subversive Akteure mit politischer Motivation die kritischen Infrastruk­turen ins Visier nehmen.Die Komplexität administrativer Prozesse er­schwert die Sicherheitsbewältigung zusätzlich. Die zunehmende Remote­Arbeit und die Digi­talisierung von Geschäftsprozessen haben die Angriffsfläche­erweitert.­Traditionelle­Netzwerk­sicherheitslösungen sind zwar hilfreich, reichen aber allein nicht mehr aus, um robuste und si­chere Netzwerke zu gewährleisten. Cyberkrimi­nelle nutzen diese Veränderungen geschickt aus.Eine weitere Herausforderung stellen neue Tech­nologien wie künstliche Intelligenz (KI) dar. KI­gestützte Programme können komplexe Texte in Sekundenschnelle generieren, die kaum von menschlichen Verfassern zu unterscheiden sind. Phishingattacken­werden­dadurch­raffinierter­und schwerer zu erkennen. Experten erwarten einen Anstieg hochentwickelter Malware und Phishing­E­Mails.ZERO TRUST NETWORK ACCESS – EIN UMFASSEN-DER SICHERHEITSANSATZAngesichts dieser Herausforderungen ist Zero Trust Network Access (ZTNA) ein umfassen­der Sicherheitsansatz für Unternehmen. ZTNA basiert auf dem Prinzip, dass weder Geräten noch Benutzern blind vertraut wird, ohne eine sichere­Authentifizierung­durchgeführt­zu­ha­ben.­Im­Gegensatz­zu­herkömmlichen­Virtual­Private­Networks­(VPNs)­werden­keine­Tunnel­zwischen­dem­Client-Netzwerk­und­dem­zentra­len­Unternehmensnetzwerk­erstellt.­Stattdessen­werden­dedizierte­Applikationsverbindungen­hergestellt.­Ein­zentrales­Element­von­ZTNA­ist­der­Software-Defined­Perimeter­(SDP),­der­die­Zugriffsberechtigungen­von­der­Netzwerkebene­entkoppelt.­Vor­dem­Zugriff­müssen­alle­Dienste­und­Clientanwendungen­überprüft­und­authen­tifiziert­werden.ZTNA­ermöglicht­eine­Mikrosegmentierung­auf­Anwendungsebene­und­behandelt­jede­Applika­tionsverbindung­wie­eine­separate­Umgebung.­Die­Authentifizierung­kann­gerätebasiert­oder­identitätsabhängig­erfolgen.­ZTNA­eignet­sich­besonders­gut­für­cloudbasierte­und­hybride­Umgebungen.­Zero­Trust­gewährleistet­die­IT-Sicherheit­auch­zukünftig,­unabhängig­davon,­von welchem Gerät oder welchem Ort aus auf Unternehmensdaten­und­-anwendungen­zuge­griffen­wird.FAZITZTNA­muss­in­Zukunft­ein­wichtiger­Bestandteil­ganzheitlicher­IT-Sicherheitslösungen­sein,­um­die­Sicherheit­von­Netzwerken­mit­ihren­zen­tralen­Unternehmensdaten­zu­gewährleisten.­Dies­gilt­insbesondere­für­KRITIS-Unternehmen.­Network-Access-Control-(NAC)-Lösungen­spie­len­dabei­eine­zentrale­Rolle­und­sollten­her­stellerunabhängig,­einfach­zu­implementieren­und­zu­administrieren­sein.­Eine­Integration­mit­anderen­Sicherheitsbausteinen­wie­Endpoint-Security-Lösungen,­Notfallmanagement­und­Firewall/IPS­über­Schnittstellen­sollte­möglich­sein,­um­komplexe­Anforderungen­optimal­zu­erfüllen­und­Mehrwert­zu­generieren. n

IT-RECHT | DATENSCHUTZ Ungültigkeit des „EU-US Privacy Shield“ Am 12.07.2016 folgte der Angemessenheitsbeschluss zum „EU-US Privacy Shield“ ((EU) 2016/1250), auf des- sen Grundlage ein Datentransfer mit entsprechend zer- tifizierten US-Unternehmen möglich war. Anschließend stützte Facebook seine Datenübermittlungen auf die EU-Standardvertragsklauseln (SCC) und das „EU-US Pri- vacy Shield“. Auch in diesem Fall folgte eine Beschwerde durch Maximilian Schrems, sodass der EuGH nunmehr sowohl zum Datentransfer auf Grundlage der SCC als auch auf Grundlage des „EU-US Privacy Shield“ Stellung nehmen musste. Am 16.07.2020 entschied der EuGH mit dem bekannten „Schrems II“-Urteil (C-311/18), dass die USA kein angemessenes Datenschutzniveau für Datentransfers im Sinne des Art. 45 der Datenschutz- Grundverordnung (DSGVO) böten und erklärte den zum „EU-US Privacy Shield“ gehörigen Angemessenheitsbe- schluss für ungültig. Diesmal stellte der EuGH explizit fest, dass die Gesetze, auf deren Grundlage US-amerika- nische Sicherheitsbehörden auf die in die USA übermit- telten personenbezogenen Daten zugreifen konnten (etwa FISA 702, E.O. 12333, CLOUD Act), Art. 7 und Art. 8 der EU-Grundrechtecharta (GRCh) unverhältnismäßig beschränkten und so gegen Art. 52 Abs. 1 S. 2 GRCh ver- stießen. Zum einen werde der Zugriff auf die personen- bezogenen Daten von Personen ohne US-amerikanische Staatsbürgerschaft nicht beschränkt und zum anderen würden diesen keine durchsetzbaren Rechte gegen diese Zugriffe gewährt. Anforderungen für die Verwendung von Standard- vertragsklauseln Zugleich entschied der EuGH, dass bestehende Stan- dardvertragsklauseln weiterhin wirksam blieben. Diese Klauseln dienen gemäß Art. 46 Abs. 1, Abs. 2 lit. c DSGVO als vertragliche Möglichkeit, Daten in Länder außerhalb der EU zu übermitteln, für die kein Angemessenheits- beschluss existiert oder keine Ausnahme gemäß Art. 49 DSGVO greift. Allerdings stellte der EuGH fest, dass die Standardvertragsklauseln allein nicht ausreichten, um die Datenschutzanforderungen zu erfüllen. Stattdessen sei es notwendig, die Rechtslage im Drittland zu über- prüfen und zusätzliche Maßnahmen zu ergreifen, um ei- nen angemessenen Schutz der Daten zu gewährleisten. Daraufhin wurden durch die EU-Kommission mit dem Beschluss 2021/914/EU im Juni 2021 neue SCC veröffent- licht, die den vom EuGH auferlegten Pflichten gerecht werden sollten. Unternehmen in der EU müssen nun neben dem Abschluss der SCC auch eine Risikoabschät- zung für die Datenübermittlung durchführen, bekannt als Transfer Impact Assessment (TIA) gemäß Klausel 14. Dabei sollen sie prüfen, ob der Datenempfänger im Drittland die in den SCC festgelegten Pflichten aufgrund der dortigen Rechtslage erfüllen kann. Gemäß den neu- en SCC müssen US-Unternehmen sowohl EU-Unter- nehmen als auch, soweit möglich, betroffene Personen darüber informieren, wenn Behörden auf die Daten der Betroffenen zugreifen wollen. Zudem sind US-Unterneh- men verpflichtet, Behördenanordnungen zu überprüfen und diese gegebenenfalls anzufechten, falls sie rechts- widrig sind, wie in Klausel 15 festgelegt. Die Anforderungen für Datenübermittlungen in die USA basierend auf den Standardvertragsklauseln sind sehr anspruchsvoll und erfordern erheblichen Aufwand von den verantwortlichen Unternehmen. Es könnte vorkom- men, dass die zuständigen Behörden die getroffenen Maßnahmen als unzureichend betrachten, was zusätzli- che Herausforderungen mit sich bringen kann. BEDEUTUNG DES ANGEMESSEN- HEITSBESCHLUSSES ZUM „EU-US DATA PRIVACY FRAMEWORK“ Durch den neuen Angemessenheitsbeschluss der EU- Kommission vom 10.07.2023 gemäß Art. 45 DSGVO für die USA entfällt für Unternehmen die mit der Nutzung von Standardvertragsklauseln einhergehende Rechtsun- sicherheit. Infolgedessen sind nun Datenübermittlun- gen in die USA auf Grundlage des „EU-US Data Privacy Framework“ wieder ohne zusätzliche Prüfungen des Da- tenschutzniveaus der USA möglich. Voraussetzung dafür ist jedoch, dass sich die US-Unternehmen erfolgreich für das DPF zertifizieren lassen müssen. Pflichten und Zertifizierungsverfahren Beim „EU-US Data Privacy Framework“ gibt es ein Selbst-Zertifizierungsverfahren, ähnlich wie beim frü- heren „EU-US Privacy Shield“. US-Unternehmen können das Zertifikat erhalten, indem sie die erforderlichen Voraussetzungen erfüllen und sich vom Department of Commerce (DoC) zertifizieren lassen. Das DoC über- wacht dann die Einhaltung der Verpflichtungen gemäß dem DPF. Um zertifiziert zu werden, müssen die US-Unterneh- men öffentlich erklären, dass sie die vorgeschriebenen Pflichten einhalten. Sie müssen auch ihre Datenschut- zerklärungen (mit Nennung der Zertifizierung) veröf- fentlichen, die Zwecke der Datenverarbeitung und die Kategorien der verarbeiteten Daten beschreiben sowie Informationen über ihre Beschwerde-Mechanismen be- reitstellen. Zusätzlich müssen sie geeignete technische und organisatorische Maßnahmen ergreifen. Für die Ver- arbeitung von Beschäftigungsdaten gelten zusätzliche Anforderungen. Die Liste der zertifizierten US-Unternehmen kann auf der öffentlichen Website mit der „EU-US Data Privacy Framework List“ eingesehen werden: https://www. dataprivacyframework.gov/s/participant-search. IT-SICHERHEIT_4/2023 IT-SICHERHEIT_4/2023 57 57

sen Stellen kooperiert und deren Entscheidungen nicht umsetzt, wird der Fall an das DoC oder die FTC weiter- geleitet. Sollten die Beschwerden erfolglos sein, können sich Betroffene als letzte Möglichkeit für ein verbindli- ches Schiedsverfahren an das „Data Privacy Framework Panel“ wenden. AUSWIRKUNG DER EXECUTIVE ORDER 14086 AUF DIE RECHTSLAGE Beschränkung der Zugriffsbefugnisse der US-Ge- heimdienste Nachdem einer der Hauptkritikpunkte des EuGH lautete, dass die US-Geheimdienste (zu) umfassende Zugriffsbe- fugnisse auf bei US-Unternehmen gespeicherten Daten der Betroffenen haben, wurde am 07.10.2022 vom US- Präsidenten die Executive Order 14086 erlassen und zum 03.07.2023 umgesetzt. Diese beschränkt die Datenver- arbeitung der US-Geheimdienste und gilt nicht nur als zentraler Bestandteil des Angemessenheitsbeschlusses, sondern bindet die US-Geheimdienste auch für andere Datentransfergrundlagen wie Standardvertragsklauseln. Nach der Executive Order 14086 ist eine Datenverarbei- tung nur noch möglich, wenn sie aufgrund nationaler Si- cherheitsinteressen notwendig und verhältnismäßig ist. Notwendigkeit bedeutet nach der Verordnung, dass die US-Geheimdienste die Verfügbarkeit, Durchführbarkeit und Eignung eingriffsärmerer Quellen und Methoden prüfen sowie priorisieren müssen. Verhältnismäßigkeit im Sinne der Executive Order 14086 heißt, dass sich die Verarbeitung nicht unverhältnismäßig auf die Privat- sphäre und Freiheiten der Betroffenen auswirken darf. Hierfür ist eine Reihe von Kriterien zu beachten, wie zum Beispiel Zweck, Eingriffstiefe, Dauer und Sensibili- tät der Daten. Daneben zielt die Executive Order 14086 auch insgesamt darauf ab, die Datenschutzgrundsätze und Auswirkungen auf die Privatsphäre und Freiheiten der Betroffenen in der Aktivität der US-Geheimdienste zu berücksichtigen. Hierzu zählt beispielsweise auch die Priorisierung gezielter Erhebungen, statt der in der Ver- gangenheit stark kritisierten Massenerhebungen („Bulk Collection“). Aufsicht über die Executive Order 14086 Die Einhaltung der vorgenannten Anforderungen soll durch unabhängige Stellen gesichert werden. Hierzu zählen etwa die in allen Geheimdiensten etablierten Privacy and Civil Liberties Officer, die für die Aufsicht und die Sicherstellung der Compliance in jeder US-Ge- heimdienstbehörde verantwortlich sind. Außerdem gibt es den Civil Liberties Protection Officer (CLPO), der ins- besondere für die Umsetzung des Rechtsbehelfsmecha- nismus zuständig ist. Daneben existiert zum Beispiel das Privacy and Civil Liberties Oversight Board (PCLOB), IT-RECHT | DATENSCHUTZ Nach der Executive Order 14086 ist eine Datenverarbeitung nur noch möglich, wenn sie auf- grund nationaler Sicher heits- interessen notwendig und ver- hältnismäßig ist. welches regelmäßig Evaluierungen zur Einhaltung der Executive Order 14086, insbesondere des Rechtsbehelfs- mechanismus, vornimmt und Berichte erstellt. Etablierung eines zweistufigen Rechtsbehelfsme- chanismus Dem zweiten großen Kritikpunkt des EuGH, dass die Bürgerinnen und Bürger in der EU keine Möglichkeit hätten, sich gegen den Zugriff der US-Geheimdienste zur Wehr zu setzen, soll mit der Einrichtung eines unabhän- gigen, zweistufigen Rechtsbehelfsmechanismus begegnet werden. Alle betroffenen Personen aus der EU können über eine nationale EU-Datenschutzaufsichtsbehörde eine Beschwerde einreichen, welche wiederum über den Europäischen Datenschutzausschuss (EDSA) an den CLPO weitergeleitet wird. Hierfür muss zwar nicht darge- legt werden, dass tatsächlich Daten verarbeitet wurden, jedoch müssen gewisse Basisinformationen mitgeteilt werden. Dazu zählt etwa die Vermutung darüber, welche Daten auf welchem Wege übermittelt wurden. Auf erster Stufe wird die Beschwerde vom unabhängigen und unparteiischen Civil Liberties Protection Officer un- tersucht. Dieser hat Zugriff auf alle relevanten Informa- tionen für die Untersuchung und darf bei der Durchfüh- rung seiner Aufgaben nicht behindert werden. Der CLPO entscheidet darüber, ob ein Verstoß gegen US-Recht vorliegt und wenn ja, welche geeigneten, bindenden Maßnahmen dagegen zu ergreifen sind. Diese können von der Beschränkung des Zugriffs über die Beendigung der Datenverarbeitung bis hin zur Löschung der Daten führen. Allerdings erhält der Beschwerdeführende über das Ergebnis der Prüfung und der gegebenenfalls einge- leiteten Maßnahmen nur eine bereits vorgefertigte, ein- heitliche Antwort: „The review either did not identify any covered violations or the CLPO issued a determination requiring appropriate remediation.“ (auf Deutsch etwa: „Die Überprüfung hat entweder keine Verstöße festge- stellt oder der CLPO hat eine Entscheidung getroffen, die angemessene Abhilfemaßnahmen erfordert.“). Auf zweiter Stufe wurde ein unabhängiger und unpar- teiischer Data Protection Review Court (DPRC) einge- führt, bei dem die Entscheidung des CLPO innerhalb von 60 Tagen angefochten werden kann. Hierfür können sich IT-SICHERHEIT_4/2023 59

Online-Schulungen IT-Sicherheit 2023 Praxisfall: Herausforderungen und Bewältigung eines Cyberangriffes – vom Angriff bis zur Abwicklung Sie lernen in dieser Schulung: ▪ Wie läuft ein Ransomware-Angriff ab? ▪ Welche Herausforderungen sind im Krisenmanagement zu bewältigen? ▪ Wie stelle ich mein Unternehmen bestmöglich auf, um eine solche Krise zu meistern? Incident-Response-Maßnahmen – Auf Sicherheitsvorfälle optimal reagieren Erhalten Sie einen perfekten Überblick, wie sie optimal und korrekt mit Sicherheitsvorfällen umgehen sollten. Lernen Sie welche Strategien und Maßnahmen Bestandteil eines Incident Response-Konzepts sind. Darüber hinaus wird in Ansätzen auf Wiederanlauf und Wiederherstellung eingegangen. Zusätzlich erfahren Sie, um was es bei IT-Forensiken geht und wie man eine angemessen Forensik Readiness erreicht. Referent: Tobias Baader 12.09.2023 | 07.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online Referenten: Tobias Elsner, Thomas Wallutis 18.09.2023 | 13.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online Betriebssystem Windows härten und absichern – Eine Schritt für Schritt Anleitung Sie lernen anhand von Beispielen, wie Clients und Server gehärtet und sicherer gemacht werden können. Es werden technische und organisatorische Möglichkeiten zur Absicherung gezeigt. Sie erfahren, wie sie diese einsetzen können ohne die Produktivität einzuschränken. Netzwerk-Sicherheit – Aufbau von sicheren IT-Netzwerken Ihnen wird aus Sicht eines IT-Sicherheitsspezialisten und Pentesters vermittelt, welche Netzwerksicherheitsmaßnahmen am sinnvollsten sind, um aktuellen Risiken begegnen zu können: ▪ Anpassungen der Netzwerkarchitektur ▪ sichere Authentisierung und Verschlüsselung ▪ diverse weitere Maßnahmen zur Reduzierung des Risikos von Datenmanipulation " Referent: Tobias Elsner 19.09.2023 | 14.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online Referent: Tobias Elsner 20.09.2023 | 15.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online ISO 27001 et al: Betrachtung aus Kosten-/Nutzen-Perspektive Sie erfahren in dieser Schulung: ▪ Welche Zertifizierungen im Bereich Informationssicherheit bestehen. ▪ Welche Vor- und Nachteile eine Zertifizierung mit sich bringt. ▪ Welche Zertifizierung für Ihr Unternehmen Sinn macht. Referent: Tobias Baader 26.09.2023 | 22.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online Änderungen bei Terminen bleiben vorbehalten. Die ersten 100 Tage als CISO – Das müssen Sie umgesetzt haben In nur 4 Stunden lernen Sie das essenzielle Wissen und die prakti- schen Fähigkeiten kennen, die nötig sind, um effektiv als CISO agie- ren zu können. Sie erhalten eine praxisorientierte Grundlage um: ▪ Ihre Rolle auszufüllen, ▪ die Informationssicherheit zu stärken, ▪ Risiken zu minimieren, ▪ eine nachhaltige Sicherheitsstrategie umzusetzen. Referent: Alexander Jaber 28.09.2023 | 21.11.2023 jeweils von 10:00 Uhr bis 14:30 Uhr I online Jetzt anmelden für nur 349,– € zzgl. MwSt.: www.datakontext.com/it-sicherheit Kompakt lernen IT-Sicherheit im Fokus IT-SICHERHEIT_4/2023 61

Bild 1: Vereinfachte Darstellung der Funktionsweise von ChatGPT (Quelle: if(is)) von ChatGPT funktionierende und vollstän­ dige Malware oder Angriffstechnologien zu erstellen. Kenntnisse in Programmierung sind weiterhin notwendig, insbesondere um­Fehler­zu­finden­und­zu­beseitigen­[6]. Polymorphe Malware Ein weiteres Risiko für die IT­Sicherheit besteht darin, dass ChatGPT zur Entwick­ lung von polymorpher Malware eingesetzt werden kann. Polymorphe Malware ist eine Schadsoftware, die ihre Implementierung verändert, aber die Funktionalität – die Schadfunktionen – beibehält [9][10]. Dies kann durch wiederholte Programmieranfragen mithilfe von ChatGPT erreicht werden, wo­ bei der generierte Code bei jeder Program­ mieranfrage ein anderer ist. Hierdurch wird die Erkennungsrate von Schutzmechanis­ men wie Anti­Malwareprogramme, die auf Signaturerkennung setzen, verringert. Bei der Signaturerkennung erstellt ein Anti­ Malware­Hersteller eine Art „Fingerabdruck“ für jede neue Malware und teilt diesen mit seinen Kunden. Dadurch kann die Malware von der Anti­Malware­Software überall erkannt und blo­ ckiert werden. Wenn die Malware jedoch stän­ dig ihre Gestalt ändert (polymorph ist), kann die Signaturerkennung nicht mehr effektiv funktio­ nieren. Das führt dazu, dass die Anti­Malware­ lösung die neue Malware nicht mehr so gut erkennen kann [6]. Optimiertes Social Engineering LLMs haben die Fähigkeit, den Schreibstil einer bestimmten Person nachzuahmen, wenn sie mit­spezifischen­Trainingsdaten­darauf­trainiert­ wurden [7]. Diese menschenähnliche Fähigkeit macht Social­Engineering­Betrug, insbesondere Spear­Phishing, einfacher. Beim Spear­Phishing werden gezielt einzelne Empfänger ausgewählt, oft Unternehmen oder Administratoren mit weitreichenden Rechten im IT­Bereich. Die Angreifer recherchieren dazu in­den­sozialen­und­beruflichen­Netzwerken­ der Opfer, um ihre persönlichen Interessen und Hobbys zu ermitteln. Mit diesen Informationen erstellen sie individualisierte Spear­Phishing­ E­Mails, die äußerst glaubwürdig wirken und daher höhere Erfolgschancen haben. Früher erforderte dieser Prozess viel Aufwand und Fachkenntnisse, die die Angreifer mögli­ cherweise nicht besaßen. Mit LLMs wie ChatGPT IT-SICHERHEIT_4/2023 63 AUS DER FORSCHUNG | KIhalten,­was­zu­inkorrekten­oder­nicht­verifizier­baren Aussagen führt. Dies hat zur Folge, dass von LLMs generierte Texte potenziell Aussagen enthalten können, die nicht auf Fakten basieren oder die Quellen nicht korrekt wiedergeben [4]. Das ist ein ernstes Problem, besonders wenn wichtige Entscheidungen auf der Grundlage solcher Ergebnisse getroffen werden. Es besteht das Risiko schwerwiegender Konsequenzen, wenn die KI in solchen Fällen halluziniert. Daher sollte die Zuverlässigkeit und Vertrauenswürdig­keit der generierten Texte sorgfältig geprüft und bewertet werden.RISIKEN FÜR DIE IT-SICHERHEITDie Risiken im Zusammenhang mit ChatGPT sind vielfältig und werden im Folgenden näher betrachtet.Beschleunigtes Entwickeln von AngriffenChatGPT kann für die Erstellung von Angriffs­technologien wie Malware ein nützliches Werkzeug sein. Das Risiko besteht darin, dass Cyberkrimi nelle dadurch Angriffe schneller ent­wickeln können. Ein Angreifer kann eine Pro­grammieranfrage an ChatGPT stellen und Code für Angriffstechnologien als Antwort erhalten. Diesen Code kann der Angreifer dann überprü­fen, Fehler beheben und möglicherweise in an­deren Code integrieren. Es ist jedoch wichtig zu betonen, dass ein Angreifer ohne ausreichende Erfahrung derzeit nicht in der Lage ist, mithilfe Netzwerke sind neuronale Netze, die zum Training eingesetzt werden. Wie der Name bereits impliziert, bewegen sich die Daten ohne Zyklen vom Anfang zum Ende des Netzes [1]. Der Multi­Head­Attention­Mecha­nismus (Bild 1) generiert eine Wahrschein­lichkeitsverteilung über das Vokabular der möglichen Ausgabesymbole [3].Auf der linken Seite ist der Encoder zu se­hen, der die aktuelle Eingabe verarbeitet und wichtige Informationen extrahiert. Der Decoder auf der rechten Seite nutzt die Informationen des Encoders, um die Ant­wort schrittweise zu generieren. Durch die Modifikation­des­Multi-Head-Attention-Me­chanismus zu einem Masked­Multi­Head­Attention­Mechanismus wird sichergestellt, dass der Decoder nur Informationen ver­wendet, die zum aktuellen Schritt gehören, und keine Informationen aus der Zukunft verwendet, um eine sinnvolle Antwort zu gewährleisten. Die Ausgabe des Decoders ist eine Wahrscheinlichkeitsverteilung zwischen 0 und 1, die angibt, welches Wort oder Symbol als nächstes generiert werden soll. Dieser Vorgang wird wiederholt, bis das Modell die Antwort komplett generiert hat [3].Der Teil „GPT“ im Namen von ChatGPT steht für „generativer, vorab trainierter Transformer“. Das Modell ist generativ, weil es neue Texte erzeu­gen kann, die einer vorgegebenen Struktur und einem vorgegebenen Sprachstil folgen. Es ist vorab trainiert, da es während des Pre­Training­Verfahrens grundlegende sprachliche Muster erlernt [11].„HALLUZINATIONEN“ VON LLMSHalluzinationen bei Sprachmodellen wie LLMs beziehen sich auf den Effekt, dass die Ausgabe der KI für den Nutzer echt erscheint, aber tat­sächlich unsinnig oder falsch ist. Das bedeu­tet, dass die generierten Texte nicht immer zuverlässig oder vertrauenswürdig sind. Eine weitere Möglichkeit ist, dass die generierte Ausgabe nicht mit der Eingabe übereinstimmt. Dies macht es schwierig, die Richtigkeit der Ausgabe zu überprüfen, insbesondere wenn das Sprachmodell auf externe Quellen verweist, die nicht­verifizierbar­sind.­Der­Ursprung­von­Hallu­zinationen kann bereits in den Trainingsdaten eines­Sprachmodells­zu­finden­sein.­Diese­Daten­könnten Duplikate oder Informationslücken ent­

AUS DER FORSCHUNG | KI Literatur [1] S. Russell und P. Norvig: “Artificial Intelligence”, 4th Global ed. 4. Aufl. Pearson Deutschland, Mai 2021, ISBN: 9781292401171 Publisher: Pearson Deutschland, ISBN: 978-1-292-40117-1. [2] A. Vaswani, N. Shazeer, N. Parmar u. a.: “Attention Is All You Need”, arXiv:1706.03762 [cs], Dez. 2017. doi: 10.48550/arXiv.1706.03762. Adresse: http://arxiv.org/abs/1706.03762 [Zugriff am: 29.05.2023]. [3] M. Phi: “Illustrated Guide to Transformers- Step by Step Explanation”, Juni 2020. Adresse: https://towardsdatascience.com/illustrated- guide-to-transformers-step-by-step-explanation-f74876522bc0 [Zugriff am: 30.05.2023]. [4] Z. Ji, N. Lee, R. Frieske u. a.: „Survey of Hallucination in Natural Language Generation,“ ACM Computing Surveys, Jg. 55, 248:1–248:38, 2023, issn: 0360-0300. doi: 10.1145/3571730. https://dl.acm.org/doi/10.1145/3571730 [Zugriff am: 05.06.2023]. [5] R. Khoury, A. R. Avila, J. Brunelle, B. M. Camara: “How Secure is Code Generated by ChatGPT?” Apr. 2023. doi: 10.48550/arXiv.2304.09655. http://arxiv.org/abs/2304.09655 [Zugriff am: 09.05.2023]. [6] N. Pohlmann: „ChatGPT und Cyber-Sicherheit“, Glossar „Cyber-Sicherheit“, https://norbert-pohlmann.com/glossar-cyber-sicherheit/ chatgpt-und-cyber-sicherheit/ [Zugriff am: 02.06.2023]. [7] „Large Language Models,“ en, Federal Office for Information Security, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/KI/AI- in-lLanguage-processing.html?nn=132646 [Zugriff am: 25. 05. 2023]. [8] OpenAI, GPT-4 Technical Report, März 2023. doi: 10.48550/arXiv.2303.08774. http://arxiv.org/abs/2303.08774 [Zugriff am: 29.05.2023]. [9] N. Pohlmann: „Cyber-Sicherheit – Das Lehrbuch für Konzepte, Mechanismen, Architekturen und Eigenschaften von Cyber- Sicherheitssystemen in der Digitalisierung“, Springer-Vieweg Verlag, Wiesbaden 2022 [10] M. Chen, J. Tworek, H. Jun u. a.: “Evaluating Large Language Models Trained on Code”, Juli 2021. https://arxiv.org/abs/2107.03374v2 [Zugriff am: 17.06.2023]. [11] Generative models, en-US. Adresse: https://openai.com/research/generative-models [Zugriff am: 11.07.2023] PATRICK FARWICK studiert im Master Internet-Sicherheit an der Westfälischen Hochschule Gelsenkirchen und beschäftigt sich im Rahmen des Studiums mit ChatGPT. NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. IT-SICHERHEIT_4/2023 65 WELCHE CHANCEN CHATGPT FÜR DIE IT-SI-CHERHEIT ERÖFFNETNeben den diskutierten Risiken bieten LLMs wie ChatGPT auch viele Chancen, sowohl im Allge­meinen­als­auch­spezifisch­für­ChatGPT:Erkennen­von­unerwünschten­Informationen:LLMs­können­dabei­helfen,­Hassrede,­Spam­und­Phishing­E­Mails zu erkennen, da einige LLMs neben­der­Textgenerierung­auch­Texte­klassifi­zieren können.Analyse von sicherheitsrelevanten Informationen:ChatGPT kann Texte nach wichtigen Aspekten durchsuchen­und­diese­kurz­zusammenfas­sen. Mit speziellem Training können LLMs auch Logs nach sicherheitsrelevantem und verdäch­tigem Verhalten durchsuchen [7].­Hierbei­sind­menschliche Kontrollen jedoch wichtig, da LLMs Halluzinationen­haben­können.­Sie­unterstützen­IT-Sicherheitsexperten,­indem­sie­die­Logs­auto­matisiert­durchsuchen­und­aufbereiten.Erkennen von Sicherheitslücken und Softwarefehlern:ChatGPT kann dazu verwendet werden, Code auf­bekannte­Sicherheitslücken­zu­überprüfen­und diese zu erklären sowie Lösungsvorschläge zu machen [5]. Es ist jedoch wichtig zu beachten, dass die Kontextlänge von ChatGPT begrenzt ist und­große­Softwareprojekte­nicht­umfassend­analysiert werden können [8].­Hinzu­kommt,­dass­nicht­jede­von­ChatGPT­identifizierte­Schwach­stelle tatsächlich auch eine ist und nicht alle Schwachstellen, über die ein Code verfügt, kön­nen zuverlässig erkannt werden [5].Unterstützung bei der Entwicklung größerer Software:ChatGPT kann Entwickler unterstützen, indem es auf Anfrage Code generiert, der nach sorgfäl­tiger Überprüfung in ein größeres Softwarepro­jekt­eingepflegt­werden­kann.Gemeinsame Nutzung von IT-Sicherheitsinformationen:Eine eigene KI­gestützte Chatbot­Technologie speziell für IT­Sicherheit könnte Unternehmen in Deutschland/Europa zusammenbringen, um si­cherheitsrelevante Informationen über Angriffe und erfolgreiche Gegenmaßnahmen zu teilen. Mit einem gemeinsamen LLM könnten Unter­nehmen sich schneller und besser gegenseitig schützen.FAZITDas Verhalten von Sprachmodellen wie Chat­GPT wird stark von den während des Trainings verwendeten­Daten­beeinflusst.­Daher­ist­es­entscheidend, hochwertige Trainingsdaten zu nutzen, um eine angemessene Leistung und Zuverlässigkeit des Modells zu gewährleisten. Dennoch sind Sprachmodelle nicht fehlerfrei und haben ihre Einschränkungen. Daher ist es wich­tig, sich sowohl der Chancen als auch der Risiken bewusst zu sein.Es ist ratsam, die Ergebnisse, die von einem Sprachmodell generiert werden, kritisch zu überprüfen und nicht bedingungslos als abso­lut korrekt oder wahrheitsgemäß anzusehen. Zudem sollte bei der Handhabung sensibler In­formationen oder persönlicher Daten besondere Vorsicht walten. Solche sensiblen Informationen sollten nicht ein Sprachmodell eingegeben wer­den, um zu vermeiden, dass diese in zukünftigen Antworten verwendet werden oder von Krimi­nellen abgegriffen werden können.Trotzdem gibt es Anwendungsfälle, bei denen Sprachmodelle helfen können, die IT­Sicherheit zu verbessern. Diese sollten in einer kooperati­ven Zusammenarbeit genutzt werden, um das Sicherheitsniveau zu erhöhen oder zumindest die Vorteile für Angreifer so gering wie möglich zu halten. Dabei sollte stets das Bewusstsein für die potenziellen Risiken und die Notwendigkeit der menschlichen Überprüfung der generierten Ergebnisse im Vordergrund stehen. n

Der neue Themenguide IT-Sicherheit Nelelena Wir bedanken uns bei unseren Partnern: Jetzt teilnehmen und Firmenpartner werden: wolfgang.scharf@datakontext.com www.itsicherheit-online.com IT-SICHERHEIT_4/2023 67 Bild: comauthor - stock.adobe.com